Утечка данных EatStreet

Совокупность данных в записи об EatStreet создаёт риски на нескольких уровнях. Когда адрес электронной почты, номер телефона, полное имя и физический адрес доступны вместе, злоумышленник может напрямую связаться с пользователем и отправить поддельные сообщения о доставке, заказе, возврате или проверке карты. Дата рождения и сведения о поле дают дополнительный контекст, который может быть использован во вред при восстановлении аккаунта или ответах на контрольные вопросы для подтверждения личности. Профили в социальных сетях, в свою очередь, могут помочь связать человека с другими его аккаунтами в интернете.

Даже если пароль представлен в виде хеша bcrypt, риск сохраняется. Bcrypt, современный алгоритм хеширования с высокой вычислительной затратностью, однако слабые или повторно используемые пароли всё равно могут стать целью злоумышленников. Неполные данные кредитных карт могут представлять менее очевидный финансовый риск, чем полные реквизиты карты. Однако в сочетании с последними цифрами номера карты, платёжным адресом или номером телефона они могут сделать более убедительными поддельные звонки из банка и мошеннические запросы на подтверждение платежа. Для партнёров также следует учитывать риски, связанные с данными банковских счетов и маршрутизационными реквизитами.

Основной подтверждённый масштаб этой записи: 6 353 564 аккаунта. Датой инцидента указано 3 мая 2019 года; сообщалось, что несанкционированный доступ обнаружили и прекратили 17 мая 2019 года. Перечень категорий данных широк, но нельзя предполагать, что каждое поле присутствует у каждого пользователя. Записи о клиентах, ресторанах-партнёрах и партнёрах по доставке могут содержать разные поля. Поэтому в описании не следует категорично утверждать, что утекли данные банковских счетов или полные номера карт всех пользователей.

Основные категории данных, подтверждённые в рамках публичного поиска, включают дату рождения, адрес электронной почты, пол, имя, неполные данные кредитной карты, пароль, номер телефона, физический адрес и профиль в социальной сети. В уведомлениях партнёрам встречаются такие поля, как название службы доставки, имя или название партнёра, адрес электронной почты, номер телефона, данные банковского счёта и маршрутизационные реквизиты. Наличие этих полей следует оценивать отдельно для каждого партнёра. Для клиентов неполные данные карт и сведения, связанные с оплатой и доставкой, повышают риск социальной инженерии. Это различие важно, чтобы принять подходящие меры предосторожности и не вызывать у пользователя необоснованную тревогу.

Наибольшему риску подвержены клиенты, которые оформляют заказы через EatStreet и используют тот же пароль в других аккаунтах. Адрес электронной почты, номер телефона, адрес и сведения о заказе позволяют злоумышленнику подготовить правдоподобные сообщения о доставке или оплате. Если среди данных также есть неполные реквизиты карты, пользователя легче убедить во время поддельного звонка из банка или звонка якобы для проверки карты. Даты рождения могут облегчить подбор ответов на слабые контрольные вопросы, используемые при восстановлении аккаунтов.

Рестораны и партнёры по доставке также подвержены высокому риску. Поскольку уведомления партнёрам содержат финансовые сведения, такие как номера банковских счетов и банковские маршрутизационные номера, этой группе не следует ограничиваться защитой паролей и электронной почты. Необходимо отслеживать платежи по бизнес-аккаунтам, банковские операции и попытки несанкционированных денежных переводов. Сотрудники ресторанов и владельцы бизнеса, которые регистрируются с корпоративным адресом электронной почты, могут стать мишенью для поддельных счетов на оплату, сообщений об изменении платёжных реквизитов и сообщений от якобы службы поддержки платформы.

Если пароль от аккаунта EatStreet использовался и в другом аккаунте, его следует немедленно изменить. Хотя хеширование Bcrypt обеспечивает хорошую техническую защиту, оно не делает повторное использование паролей безопасным. Для электронной почты, социальных сетей, сервисов доставки еды, покупок и аккаунтов, связанных с платежами, следует использовать уникальные пароли и включить двухфакторную аутентификацию. Также стоит избегать одинаковой или похожей основы паролей: злоумышленники могут пробовать разные варианты, опираясь на утекшие сведения, которые дают подсказки о пароле.

Клиентам следует внимательно отслеживать операции по картам, подозрительные сообщения о доставке и запросы на подтверждение аккаунта. Полезно включить уведомления о подозрительных операциях у организации, выпустившей вашу карту. Поскольку адреса и номера телефонов могли попасть в утечку, следует обращать внимание не только на электронные письма, но и на текстовые сообщения и звонки. Ресторанам и партнёрам по доставке следует проверить операции по банковским счетам, выяснить, не появились ли неожиданные изменения в платёжных инструкциях, и пересмотреть список пользователей с правом доступа к бизнес-аккаунтам.

Инцидент с EatStreet показывает, что в экосистемах заказа и доставки еды данные клиентов и финансовые данные партнёров необходимо защищать в рамках единой системы безопасности. Организациям следует тщательно отслеживать доступ к базам данных, не хранить ненужные поля, регулярно удалять старые записи и по возможности ограничивать данные карт токенами или последними цифрами номера. Для хранения паролей следует использовать надёжные методы, такие как bcrypt, но наряду с этим необходимо внедрять строгую политику паролей и многофакторную аутентификацию.

Для пользователей долгосрочный подход заключается в том, чтобы защитить аккаунты для заказа еды, покупок и платежей отдельными уникальными паролями и не раскрывать сведения профиля без необходимости. Такие данные, как адрес, номер телефона и дата рождения, трудно изменить, поэтому после утечки их могут долго использовать для целевого мошенничества. Компаниям и партнёрам следует усилить разграничение доступа по ролям, процедуры подтверждения операций и контроль движения средств на платформах, содержащих сведения о финансовых счетах.

Если ваш адрес электронной почты присутствует в этой записи, проверьте не только аккаунт EatStreet, но и все аккаунты, в которых используется тот же пароль. С осторожностью относитесь к подозрительным сообщениям о заказах еды, доставках, возвратах, проверке банковских реквизитов или карт. Неполные данные кредитной карты и адрес могут придать убедительности разговорам с поддельной службой поддержки. Если вы обнаружили неизвестную операцию по карте, свяжитесь напрямую с организацией, выпустившей карту, и не переходите по ссылкам в сообщении.

Если вы представляете ресторан или являетесь партнёром по доставке, также проверьте операции по финансовым счетам и настройки платежей. Уведомления, содержащие данные банковских счетов или маршрутизационные реквизиты, относятся к партнёрам. Поэтому важно убедиться, что в бизнес-аккаунты не внесены несанкционированные изменения. Утечка данных EatStreet показывает, что сочетание данных профилей клиентов, неполных финансовых сведений и хешей паролей может создавать долгосрочные риски социальной инженерии и угрозы безопасности аккаунтов.