Утечка данных Engrenagem Virtual (2020)

При проверке учитывались название Engrenagem Virtual, домен engrenagemvirtual.com.br, дата, июль 2020 года, объём свыше 430 тысяч записей, а также наличие хешей паролей SHA-256 с солью наряду с полями личного профиля. Более серьёзные утверждения, например о наличии CPF или поля с данными официального удостоверения личности, не получили достаточного и последовательного подтверждения, поэтому их не включили в запись. Инцидент оставлен в категории безопасности аккаунтов и данных личного профиля; его описание не было расширено неподтверждёнными утверждениями о финансовых данных или официальных документах.

Утечка данных Virtual Gear создаёт для пользователей риски захвата аккаунтов, фишинга на тему образования и маркетинга, а также адресной социальной инженерии. Сочетание адреса электронной почты, имени, номера телефона, даты рождения, пола и семейного положения позволяет злоумышленникам составлять персонализированные сообщения об обучении, развитии бизнеса, подписках, сертификации или кампаниях. Наличие поля с хешем пароля также создаёт риск попыток входа в другие сервисы с теми же или слабыми паролями. Поэтому этот инцидент нельзя считать лишь утечкой списка контактов.

В этом инциденте видимые категории данных имеют существенное значение для безопасности личного профиля и аккаунтов. Дату рождения могут использовать неправомерно при проверках личности службой поддержки. Номер телефона облегчает адресные атаки через SMS и звонки. Поля профиля, такие как семейное положение и пол, могут использоваться для персонализации сообщений. Хеши паролей SHA-256 с солью не исключают полностью риск офлайн-подбора слабых или повторно используемых паролей.

Людям, у которых есть аккаунт Virtual Gear или которые используют тот же адрес электронной почты, следует сменить пароль в соответствующем аккаунте и во всех других аккаунтах с таким же паролем. В первую очередь стоит проверить электронную почту, образовательные платформы, социальные сети, аккаунты для покупок и платежей, а также рабочие аккаунты. По возможности следует включить многофакторную аутентификацию, завершить старые сеансы и проверить неожиданные уведомления о входе. Ссылки, связанные с сертификатами, курсами, подписками или кампаниями, нужно проверять напрямую через известные официальные каналы.

Для организаций утечка данных Engrenagem Virtual показывает, что на образовательных платформах и платформах цифрового маркетинга необходимо совместно обеспечивать защиту данных профиля и паролей. Службы поддержки не должны вносить изменения в аккаунты только на основании имени, номера телефона или даты рождения. Для таких действий, как смена адреса электронной почты, восстановление аккаунта, обновление подписки и доступ к сертификатам, требуется дополнительная проверка. Организациям следует понятно объяснять пользователям, как распознавать поддельные приглашения на обучение или сообщения о кампаниях, и побуждать их отказаться от использования старых паролей.

В записи об утечке данных Virtual Gear охват был ограничен полями, наличие которых подтверждено. В записи сохранён объём 430 936 записей; утверждения о наличии официальных удостоверений личности, платёжных карт или банковских счетов не добавлялись. Категории данных ограничены адресами электронной почты, именами, телефонами, датами рождения, полями профиля и сведениями о хешах паролей. Тем не менее сочетание данных личного профиля и полей с хешами паролей создаёт критический риск для безопасности аккаунтов. Если тот же пароль используется в других аккаунтах, последствия могут выходить за пределы соответствующей платформы.

Общий уровень риска оценён как критический, поскольку утечка данных Engrenagem Virtual сочетает поля личного профиля с рисками, связанными с телефонными номерами и хешами паролей. Наиболее практичные шаги для пользователей, ищущих информацию об утечке данных Engrenagem Virtual, сменить пароли, не использовать один и тот же пароль повторно, включить дополнительную проверку в электронной почте и важных аккаунтах, самостоятельно проверять ссылки на обучение или кампании и не доверять сообщениям лишь потому, что они содержат верные личные сведения. Запись подготовлена для объяснения реального влияния инцидента на безопасность аккаунтов без добавления неподтверждённых типов данных.