Утечка данных E-Pal

Если в записи E-Pal одновременно присутствуют адрес электронной почты и имя пользователя, злоумышленник может попытаться сопоставить их с профилями этого пользователя на игровых и социальных платформах. Записи о покупках, в свою очередь, могут использоваться для социальной инженерии: они позволяют понять, какими услугами человек пользовался на платформе, что заказывал и за какие услуги платил. Сами по себе эти поля не означают наличия данных платежной карты, однако могут сделать поддельные сообщения о возврате средств, проверке заказа или обращении службы поддержки более убедительными.

Поскольку утечка паролей для этой записи не подтверждена, риск прямого подбора паролей ограничен. Тем не менее сочетание адреса электронной почты и имени пользователя может стать отправной точкой для попыток захвата аккаунта. Если одно и то же имя пользователя используется в разных игровых сообществах или социальных аккаунтах, риск сопоставления профилей возрастает. Сведения о покупках также дают злоумышленнику возможность подготовить поддельные счета, обращения службы поддержки или сообщения о проверке аккаунта, которые будут выглядеть персонализированными.

Основной подтвержденный объем этой записи: 108 887 уникальных адресов электронной почты. Около 1 миллиона записей о покупках или заказах отражают количество строк в наборе данных; это число не следует считать количеством уникальных людей. Один и тот же пользователь мог совершить несколько транзакций. Поэтому при объяснении последствий пользователю важно разграничивать число уникальных адресов электронной почты и число записей о транзакциях.

Подтвержденные категории данных, адреса электронной почты, имена пользователей и записи о покупках. Пароли, IP-адреса, номера телефонов, физические адреса, данные платежных карт, банковские счета, настоящие имена, личные сообщения и остатки на счетах не следует включать в подтвержденный объем этой записи. Наличие данных о покупках не означает, что произошла утечка данных платежных карт или банковской информации. Подтвержденный объем ограничивается идентификаторами пользовательских аккаунтов и сведениями о транзакциях внутри платформы.

Наибольшему риску подвержены люди, которые покупали услуги на E-Pal или создали видимый профиль с именем пользователя. Им могут направлять поддельные подтверждения заказов, уведомления о возврате, обращения службы поддержки, оповещения о членстве или ссылки для проверки аккаунта. Одновременное использование адреса электронной почты и имени пользователя может создать впечатление, что сообщение основано на реальной истории действий на платформе.

Риск сопоставления профилей выше для людей, которые используют одно и то же имя пользователя в играх и социальных сообществах. Если одинаковое имя пользователя встречается на разных платформах, злоумышленники могут попытаться определить игровые предпочтения человека, его социальные связи или используемые им услуги. Для пользователей, зарегистрировавшихся с корпоративным адресом электронной почты, риск может проявиться в виде целевых фишинговых сообщений на рабочую почту, основанных на сведениях из их личного социального или игрового аккаунта.

Если ваш адрес электронной почты фигурирует в записи об утечке E-Pal, внимательно проверяйте входящие сообщения о заказах, возвратах, поддержке, проверке аккаунта или рекламных акциях. Вместо перехода по ссылке из сообщения войдите в соответствующий аккаунт напрямую через официальный адрес. Хотя эта запись не подтверждает утечку паролей, разумной мерой предосторожности будет включить двухфакторную аутентификацию в других аккаунтах с тем же адресом электронной почты и именем пользователя, а также проверить, не используете ли вы повторно одни и те же пароли.

Благодаря сведениям из истории покупок поддельные сообщения о возврате или проверке платежа могут выглядеть более убедительно. Поскольку наличие данных карт в этой записи не подтверждено, не стоит паниковать: проверяйте запросы на оплату через официальные каналы. Проверьте настройки конфиденциальности в игровых аккаунтах, социальных сетях и сообществах, где вы используете то же имя пользователя. Ограничение видимости имени пользователя в неиспользуемых аккаунтах или закрытие таких аккаунтов снижает риск.

Инцидент E-Pal показывает, что записи о покупках могут сделать пользователя уязвимым для целевой социальной инженерии, даже если они не содержат данных платежной карты. Платформам следует хранить данные о транзакциях не дольше необходимого, сводить к минимуму объем хранимых идентификаторов пользователей и строго контролировать доступ к истории покупок. Пользователи могут затруднить сопоставление профилей, используя отдельные псевдонимы адреса электронной почты для разных социальных и игровых сервисов.

В долгосрочной перспективе пользователям следует использовать разные пароли для игровых аккаунтов, сервисов для общения, торговых площадок и платежных сервисов. Даже если пароли не входят в число подтвержденных категорий данных в этой записи, утечка адреса электронной почты может увеличить число целевых попыток входа. Двухфакторная аутентификация, уникальные пароли, отказ от повторного использования одного имени пользователя и привычка проверять подозрительные сообщения о транзакциях через официальные каналы ограничивают последствия подобных утечек.

Если ваш адрес электронной почты фигурирует в этой записи, не делайте вывод, что данные вашей платежной карты или пароль утекли: эти поля не входят в подтвержденный объем. Однако ваш адрес электронной почты, имя пользователя и сведения о покупках могут присутствовать в наборе данных. Это сочетание может использоваться в поддельных сообщениях службы поддержки, уведомлениях о возврате средств, запросах на проверку заказа или рекламных сообщениях.

Правильные действия, не переходить по подозрительным ссылкам, напрямую проверить аккаунт E-Pal и связанные социальные или игровые аккаунты, пересмотреть настройки конфиденциальности в аккаунтах с тем же именем пользователя и включить двухфакторную аутентификацию в важных аккаунтах. Утечка данных E-Pal показывает, что даже записи без паролей в сочетании со сведениями из истории покупок могут создавать риски социальной инженерии и нарушения конфиденциальности профилей.