Утечка данных Elanic

В этом случае сочетание адреса электронной почты, имени пользователя и сведений о географическом местоположении позволяет составить содержательное представление о профиле пользователя. Адрес электронной почты даёт прямой канал связи с человеком, а имя пользователя может совпадать с псевдонимами, которые он использует в других аккаунтах на площадках для покупки одежды и товаров, в социальных сетях или сообществах. Сведения о географическом местоположении, в свою очередь, могут позволить злоумышленнику использовать контекст города, региона или местного рынка, чтобы сделать сообщение убедительнее.

Поскольку утечка паролей не подтверждена, эту запись не следует прямо представлять как случай кражи личности. Тем не менее сочетание адреса электронной почты и имени пользователя уже даёт отправную точку для фишинга и мошенничества под видом восстановления доступа к аккаунту. С учётом специфики площадки для торговли одеждой поддельные сообщения о заказах, возвратах, доставке, обновлении аккаунта, купонах или проверке продавца могут выглядеть убедительнее. Если в них добавлены формулировки, связанные с фактическим местоположением пользователя, доверие к сообщению может возрасти.

Для Elanic достоверно подтверждённый объём составляет 2 325 283 уникальных адреса электронной почты. Поскольку общее число строк, по сообщениям, составляет примерно 2,8 миллиона, его не следует путать с числом уникальных пользователей, затронутых утечкой. Эту запись следует рассматривать как случай раскрытия данных со старого тестового сервера или их получения лицами, не имевшими права доступа. Об инциденте стало известно публично в январе 2020 года, однако, судя по давности данных, они относятся к периоду 2016-2018 годов.

Подтверждённые категории данных, адреса электронной почты, сведения о географическом местоположении и имена пользователей. Номера телефонов, ссылки на социальные сети, платёжные карты, пароли, физические адреса, личные сообщения и документы, удостоверяющие личность, не следует указывать в этой записи как подтверждённые поля. Некоторые вторичные оценки могут содержать утверждения о более широком составе данных, однако в этой записи, которую видит пользователь, перечень основных категорий должен оставаться ограниченным. Это позволяет точно передать риск и не вводить пользователя в заблуждение неподтверждёнными заявлениями о персональных данных.

К группе наибольшего риска относятся пользователи, которые совершают покупки на Elanic, продают товары или связали свой профиль со сведениями о местоположении. Они могут стать целью поддельных сообщений от покупателей или продавцов, запросов на возврат, уведомлений о доставке или проверке аккаунта. Если адрес электронной почты и имя пользователя обнаружены вместе, злоумышленник может проверить, использует ли человек то же имя на других торговых площадках или в социальных сетях.

Контекст местоположения важен для пользователей, у которых есть аккаунт для покупки одежды старых фасонов и подержанных вещей на индийском рынке. Сообщения с региональными выражениями, названиями городов или формулировками, характерными для местных служб доставки, могут выглядеть убедительнее. Для пользователей, зарегистрированных с корпоративным адресом электронной почты, риск может выражаться в целевых сообщениях, которые через личный аккаунт для покупок попадают в рабочую почту. Поэтому пользователям следует проверить не только аккаунт Elanic, но и другие аккаунты, созданные с тем же адресом электронной почты и именем пользователя.

Если ваш адрес электронной почты присутствует в записи Elanic, прежде всего осторожно относитесь к поступающим на него сообщениям о площадке для торговли одеждой, доставке, возвратах, купонах и проверке аккаунта. Вместо перехода по ссылке из сообщения безопаснее вручную ввести адрес соответствующего сайта в браузере и проверить информацию в аккаунте. Даже если утечка паролей для этой записи не подтверждена, рекомендуется обновить пароли важных аккаунтов, если старые пароли, использовавшиеся в тот же период, были слабыми или повторялись.

Проверьте, не было ли незнакомых входов в вашу почту, а также просмотрите правила пересылки и адреса для восстановления доступа. Если вы использовали то же имя пользователя на других торговых площадках, в социальных сетях или на форумах, проверьте настройки конфиденциальности и безопасности этих аккаунтов. Включите двухфакторную аутентификацию в сервисах, которые поддерживают такую защиту. Чтобы снизить риск злоупотребления сведениями о местоположении, не публикуйте в открытых профилях лишние данные о городе, районе или зоне доставки.

Инцидент с Elanic показывает, что тестовые среды и среды со старыми данными необходимо защищать так же тщательно, как и рабочие системы с данными. Организациям не следует хранить реальные данные пользователей на тестовых серверах, а если это необходимо, следует применять маскирование и ограничения доступа. Отделение старых данных от действующей системы не означает, что риск для пользователя исчез. Адреса электронной почты, имена пользователей и сведения о местоположении могут долго оставаться неизменными и использоваться в целевых сообщениях даже спустя годы.

Для пользователей долгосрочное решение состоит в том, чтобы разделять адреса электронной почты по назначению, использовать уникальные имена пользователей для аккаунтов в магазинах и на торговых площадках и сокращать объём лишних сведений в профилях. Корпоративным командам, в свою очередь, следует сокращать использование сотрудниками рабочей почты в личных аккаунтах на торговых площадках и оценивать сведения об утечках адресов электронной почты в увязке с осведомлённостью о фишинге и политиками многофакторной аутентификации. Такой подход снижает влияние социальной инженерии даже при утечках, не содержащих паролей.

Наличие вашего адреса электронной почты в этой записи не означает, что ваш пароль или сведения о платёжной карте были раскрыты. Однако оно указывает на то, что ваш адрес электронной почты, имя пользователя и сведения о местоположении могли входить в набор данных. Поэтому вам следует осторожнее относиться к поддельным уведомлениям о покупках, доставке, возвратах или аккаунте, поступающим в вашу почту. Если вы больше не пользуетесь старым аккаунтом Elanic, рассмотрите возможность закрыть его или ограничить доступ.

Правильный подход, действовать, не преувеличивая риск, но и не недооценивая значение данных профиля. Проверьте безопасность вашей почты, просмотрите аккаунты с тем же именем пользователя, включите двухфакторную аутентификацию в важных аккаунтах и избегайте подозрительных ссылок. Утечка данных Elanic показывает, что даже записи без паролей могут создавать для пользователей риски целевого мошенничества и сопоставления профилей.