Утечка данных Dymocks в 2023 году

Наличие в одной записи Dymocks адреса электронной почты, номера телефона, полного имени и физического адреса упрощает прямое обращение к пользователю. В сфере книжной торговли это даёт злоумышленникам возможность придумывать правдоподобные сценарии, связанные с заказами, акциями, доставкой, возвратами или обновлением данных участника программы лояльности. Если запись также содержит дату рождения и сведения о поле, сообщения могут выглядеть более персональными, а ответы на ненадёжные проверочные вопросы, используемые в некоторых процедурах восстановления аккаунта, могут стать предсказуемыми.

Эту утечку не следует описывать как случай непосредственного мошенничества с платёжными картами или взлома паролей, поскольку утечка паролей или платёжных карт не подтверждена. Однако даже одни лишь данные профиля и контактные сведения создают серьёзный риск социальной инженерии. Сочетание физического адреса, телефона и электронной почты может использоваться в сообщениях, адресованных пользователю под предлогом доставки на дом, начисления баллов программы лояльности, книжных заказов или оплаты доставки. Поэтому запись Dymocks следует рассматривать как источник длительного риска для персональных данных, даже если она не содержит финансовой информации.

Основной подтверждённый показатель масштаба утечки для этой записи: 836 120 уникальных адресов электронной почты. Согласно сообщениям, общее число записей с контактными данными клиентов составляет примерно 1,24 миллиона. По имеющимся сведениям, набор данных охватывает период до июня 2023 года, а компания обнаружила инцидент в сентябре 2023 года. Подтверждено, что клиентские записи распространялись в даркнете. Поэтому дату самого инцидента и дату публичного объявления о нём следует указывать отдельно.

Подтверждённые категории данных, дата рождения, электронная почта, пол, имя, телефон и физический адрес. В некоторых уведомлениях клиентам упоминаются сведения об участии в программе лояльности, например статус участника или уровень клубной карты. Однако в этой записи основными категориями данных должны оставаться личные контактные и демографические сведения. Пароли, платёжные карты, паспорта, водительские удостоверения, идентификационные номера и историю операций не следует включать в подтверждённый состав утечки для этой записи. Такое разграничение позволяет точно описать риск, не вызывая у пользователя лишней паники.

Наибольшему риску подвержены владельцы клиентских аккаунтов Dymocks, которые указали свои настоящие номера телефонов и адреса для книжных заказов, участия в программе лояльности или связи с магазином. Им могут направлять поддельные сообщения о книжных акциях, оплате доставки, подтверждении возврата, баллах программы лояльности или обновлении аккаунта. Пользователям, указавшим дату рождения, следует особенно осторожно относиться к фишинговым сообщениям о скидках ко дню рождения или преимуществах участия в программе лояльности.

Клиентам в Австралии и на соседних рынках могут направлять сообщения, используя привычные для местных магазинов, служб доставки и программ лояльности формулировки. Для тех, кто использует один и тот же адрес электронной почты в аккаунтах других магазинов, существует риск сопоставления разных покупательских аккаунтов. Пользователям, зарегистрированным с корпоративной электронной почтой, также могут направлять поддельные счета, приглашения на мероприятия или сообщения о корпоративных закупках. Поскольку утекли данные, которые трудно изменить, (например, адрес и номер телефона,) риск не ограничивается периодом, когда об инциденте было объявлено.

Если ваш адрес электронной почты присутствует в наборе данных Dymocks, внимательно проверяйте все входящие сообщения о книжных заказах, доставке, баллах программы лояльности, возвратах или подтверждении аккаунта. Вместо перехода по ссылке из сообщения открывайте свой аккаунт напрямую через браузер или официальное приложение. Хотя утечка паролей для этого набора данных не подтверждена, если в тот же период вы использовали слабые или повторяющиеся пароли, разумной мерой предосторожности будет смена паролей важных аккаунтов в магазинах и электронной почте.

Осторожно относитесь к запросам, поступающим по SMS, телефону и почте, поскольку ваш номер телефона и физический адрес могли попасть в утечку. Не выполняйте без проверки требования об оплате под предлогом доставки, её подтверждения, подарочных карт или баллов программы лояльности. Проверьте, нет ли в вашем почтовом аккаунте неизвестных сеансов и правил пересылки. Если в других аккаунтах магазинов, зарегистрированных на тот же адрес электронной почты, доступна двухфакторная аутентификация, включите её.

Инцидент Dymocks показывает, что розничным компаниям необходимо регулярно пересматривать сроки и цели хранения персональных данных, которые долго не меняются, например, даты рождения, пола и адреса. Организациям следует сокращать сбор ненужных данных, ограничивать хранение старых или неактивных клиентских записей с помощью соответствующих политик и регулярно проверять сторонних партнёров, работающих с данными. Отсутствие паролей среди персональных данных не отменяет необходимости минимизации данных и контроля доступа.

Для пользователей долгосрочный подход заключается в том, чтобы не заполнять необязательные поля профиля в аккаунтах магазинов и использовать разные адреса электронной почты для разных целей. После утечки невозможно вернуть под свой контроль такие устойчивые сведения, как физический адрес и номер телефона. Поэтому важно не указывать их в ненадёжных формах участия в акциях и программах лояльности. Корпоративным пользователям следует избегать регистрации личных аккаунтов в магазинах на рабочую почту, а также оценивать входящие сообщения о покупках и доставке с точки зрения риска фишинга.

Если ваш адрес электронной почты присутствует в этой записи, не делайте вывод, что ваш пароль или данные платёжной карты утекли: эти поля не входят в подтверждённый состав утечки. Однако ваше имя, адрес электронной почты, номер телефона, адрес, дата рождения и сведения о поле могут оказаться в одной записи. Этого сочетания достаточно, чтобы персонализировать мошеннические сообщения. Избегайте подозрительных ссылок, проверяйте свой аккаунт Dymocks напрямую и проверяйте подлинность неожиданных обращений через официальные каналы.

Правильная тактика, сосредоточиться на предотвращении неправомерного использования личных контактных данных. Проверьте безопасность своей электронной почты, осторожно относитесь к подозрительным сообщениям, связанным с другими аккаунтами магазинов, в которых указаны те же контактные сведения, и не соглашайтесь на запросы об оплате или подтверждении данных по телефону. Утечка данных Dymocks показывает, что даже без финансовой информации утечки, содержащие устойчивые сведения (дату рождения, номер телефона и адрес,) могут создавать долгосрочные риски социальной инженерии.