Утечка данных Eatigo

Адрес электронной почты, номер телефона, имя и фамилия в записи Eatigo упрощают прямой контакт с пользователем. Сведения о бронированиях в ресторанах делают более убедительными такие сценарии социальной инженерии, как поддельные подтверждения бронирования, уведомления об отмене, купоны на скидку, запросы на подтверждение аккаунта или сообщения от службы поддержки. Если к этому добавляются сведения о поле и профили в социальных сетях, злоумышленник может точнее адаптировать сообщения под конкретного человека.

Поле с паролем, один из наиболее серьёзных источников риска. Хеш MD5 без соли слабее современных способов хранения паролей, в которых для усиления защиты используется уникальное значение соли. Это не означает, что любой пароль можно мгновенно раскрыть, но риск существенно возрастает при использовании списков распространённых паролей и повторном использовании паролей. В сочетании с номером телефона этот риск может усилить угрозу не только фишинга по электронной почте, но и мошенничества через поддельные звонки и SMS.

Основной подтверждённый охват этой записи: 2 789 609 аккаунтов. Технические обстоятельства инцидента связаны со старой базой данных, которая после перехода на новую платформу не учитывалась должным образом и оставалась доступной из интернета. Хотя продажу данных заметили в 2020 году, последнее обновление базы данных и обстоятельства инцидента указывают на 2018 год. Поэтому дату утечки не следует путать с датой, когда о ней стало известно общественности.

Подтверждённые категории данных, адреса электронной почты, сведения о поле, имена, пароли, номера телефонов и профили в социальных сетях. Данные платёжных карт не входят в подтверждённый состав утечки: в заявлениях компании указывалось, что сведения о кредитных картах не хранятся в системе. Хотя в разных источниках встречаются более подробные утверждения о полях, связанных с социальными сетями, в этой записи следует сохранить общую категорию «профили в социальных сетях». Это позволяет обозначить риск, не представляя пользователю неподтверждённые дополнительные поля как достоверные сведения.

Наибольшему риску подвергаются люди, которые используют пароль от аккаунта Eatigo и в других сервисах. Если одна и та же комбинация адреса электронной почты и пароля используется в социальных сетях, почте, сервисах доставки еды, интернет-магазинах или программах лояльности, последствия утечки старой записи о бронировании столика в ресторане могут затронуть другие аккаунты. Номер телефона, имя и фамилия также могут помочь злоумышленнику напрямую связаться с пользователем под предлогом проверки безопасности или оформления бронирования.

Пользователи, бронирующие столики в ресторанах в Сингапуре, Гонконге, Таиланде и других странах региона, также могут стать целями локальных мошеннических кампаний с сообщениями на языке, используемом при бронировании. Если человек связал свой аккаунт Eatigo с профилем в социальной сети, злоумышленник может собрать из этого профиля дополнительные сведения, чтобы персонализировать сообщение. Для пользователей, зарегистрированных с корпоративным адресом электронной почты, риск может распространяться и на рабочий аккаунт: сообщения под предлогом бронирования столиков в ресторанах или мероприятий могут оказаться фишинговыми попытками, направленными на сотрудников.

Если ваш адрес электронной почты присутствует в записи Eatigo, прежде всего убедитесь, что пароль от аккаунта Eatigo не используется ни в одном другом аккаунте. Если вы использовали такой же или похожий пароль, немедленно смените пароли в почте, социальных сетях, сервисах доставки еды, интернет-магазинах и аккаунтах, связанных с платежами. Новые пароли должны быть уникальными; храните их в менеджере паролей. Просто добавить цифру в конце старого пароля недостаточно.

Будьте осторожны с текстовыми сообщениями и звонками: ваш номер телефона, имя и фамилия также могли попасть в утечку. Не переходите по ссылкам, присланным под предлогом отмены бронирования, скидок в ресторанах, подтверждения аккаунта или проверки безопасности. Если вам нужно войти в аккаунт, введите адрес в браузере вручную или воспользуйтесь официальным приложением. Включите двухфакторную аутентификацию в аккаунтах, которые её поддерживают, и проверьте, нет ли в вашем почтовом аккаунте незнакомых сеансов.

Инцидент Eatigo показывает, что старые базы данных и системы, оставленные при переходе на новую платформу, могут создавать серьёзные риски. Организациям следует поддерживать актуальный реестр данных, отключать неиспользуемые базы и изолировать среды с резервными копиями и устаревшими системами с помощью средств контроля доступа. Для хранения паролей не следует применять старые методы, такие как MD5 без соли; предпочтение нужно отдавать стойким, медленным алгоритмам хеширования с солью. Персональные данные следует хранить только в течение необходимого срока, а старые записи, регулярно удалять.

Долгосрочная стратегия для пользователей, никогда не использовать пароли повторно, не указывать номер телефона в аккаунтах без необходимости и ограничивать привязку к социальным сетям. Если для аккаунтов в сервисах бронирования столиков в ресторанах, путешествий, покупок и доставки используются отдельные адреса электронной почты, связать утечку из одного сервиса с другими профилями будет сложнее. Организациям также следует сокращать использование сотрудниками рабочей почты в личных сервисах и сочетать проверки на утёкшие пароли с обучением распознаванию фишинга.

Если ваш адрес электронной почты присутствует в этой записи, проверьте не только аккаунт Eatigo, но и другие аккаунты, которыми вы пользовались в тот же период с тем же паролем или номером телефона. Даже если пароль хранится в виде хеша, использование того же пароля в других сервисах представляет серьёзный риск из-за слабости MD5 без соли. Сочетание номера телефона и профиля в социальной сети может использоваться для поддельных сообщений от службы поддержки или персонализированных фишинговых попыток.

Правильные действия, сделать пароль уникальным, включить двухэтапную проверку в важных аккаунтах и не выполнять указания из подозрительных сообщений о бронировании или безопасности, не проверив их подлинность. Помните, что наличие данных платёжных карт в этой записи не подтверждено. Однако уже само сочетание адреса электронной почты, телефона, имени, профиля в социальной сети и пароля, защищённого слабым хешированием, представляет серьёзную угрозу. Эти меры снижают риск того, что последствия утечки Eatigo затронут другие аккаунты и безопасность вашей цифровой личности сегодня.