Утечка данных Epik

Проверенный набор данных содержал адреса электронной почты, имена, номера телефонов, почтовые адреса, сведения о покупках и пароли, хранившиеся в различных форматах. «Различные форматы» не означает, что все пароли были защищены одинаково или что все они хранились в открытом виде; использование одного и того же алгоритма для всех записей не подтверждено. Архив не ограничивался данными клиентов Epik. Поскольку системы Epik сохраняли записи WHOIS, в нём также оказались контактные сведения владельцев доменов, которые никогда напрямую не совершали сделок с компанией. В подсчёт могли входить замаскированные варианты адресов электронной почты, используемые для защиты конфиденциальности при регистрации доменов, поэтому наличие адреса в данных этого инцидента не доказывает, что его владелец был клиентом Epik. Сочетание адреса электронной почты, имени, номера телефона, почтового адреса и сведений о покупках может облегчить целевой фишинг, мошеннические звонки от имени службы поддержки и злоупотребления процедурами восстановления доступа к аккаунтам.

Основной датой инцидента считается 13 сентября 2021 года. В результате несанкционированного доступа был выгружен обширный архив, принадлежавший регистратору доменов и хостинг-провайдеру Epik. По сообщениям, объём опубликованного архива составлял около 180 GB; позднее компания подтвердила несанкционированное проникновение в свои системы. Объём архива и число затронутых людей, разные показатели: подсчёт основан на 15 003 961 уникальном адресе электронной почты. Наличие как данных клиентских аккаунтов, так и сохранённых записей WHOIS объясняет, почему круг затронутых лиц нельзя ограничить действующими клиентами. Некоторые записи WHOIS могли содержать сведения о прежних владельцах, поэтому совпадение адреса электронной почты не позволяет напрямую установить, кому домен принадлежит сейчас. Способ первоначального доступа, точная продолжительность присутствия злоумышленников в системе и формат защиты каждого пароля не были окончательно установлены для всех аккаунтов, поэтому не следует строить догадки об этих деталях.

Утечка напрямую затронула прежде всего клиентов, бывших клиентов, администраторов доменов и пользователей хостинга, у которых был аккаунт Epik в сентябре 2021 года или раньше. Вторую группу составляют владельцы доменов и контактные лица организаций, чьи сведения попали в сохранённые записи WHOIS, хотя у них не было договорных отношений с Epik. Данные людей, пользовавшихся услугами конфиденциальной регистрации или регистрации через посредника, также могли попасть в архив в виде замаскированных адресов, адресов переадресации или исторических записей. Для сотрудников, управляющих корпоративными доменами, риск выходит за рамки личного аккаунта: преступники могут объединить имя, номер телефона, адрес и сведения о покупках, чтобы составить убедительные запросы на перенос домена или изменение DNS, а также поддельные счета. Таким образом, наличие данных в материалах инцидента не доказывает, что человек сейчас пользуется услугами Epik, но всё же может сделать адресное мошенничество более убедительным.

Если у вас есть аккаунт Epik, откройте официальный сайт напрямую и измените пароль, а затем замените такой же или похожий пароль во всех остальных аккаунтах. Повторное использование паролей позволяет использовать старую утечку для автоматизированных попыток входа в электронную почту, облачные хранилища, социальные сети или финансовые сервисы даже спустя годы. Создайте длинный уникальный пароль для каждого сервиса, используйте менеджер паролей и включите многофакторную аутентификацию в аккаунтах, где она поддерживается. Владельцам доменов следует проверить статус блокировки у регистратора, разрешения на перенос доменов, данные для восстановления доступа, серверы имён и записи DNS. Прежде чем подтверждать неожиданный запрос на сброс пароля, перенос домена или изменение контактных данных, самостоятельно войдите в аккаунт. Сведения о покупках входят в число подтверждённых категорий раскрытых данных, однако утечка данных платёжных карт не подтверждена; тем не менее проверяйте неожиданные списания и мошеннические счета за продление услуг. Не переходите по ссылкам в сообщениях о приостановке обслуживания и никому не сообщайте одноразовые коды.

Для устойчивой защиты нужен учёт аккаунтов и доменов, а не разовая смена пароля. Сделайте использование уникальных паролей стандартом для личных и корпоративных аккаунтов, отдавайте предпочтение многофакторной аутентификации через приложение или с помощью аппаратного ключа и регулярно проверяйте способы восстановления доступа. Для критически важных доменов используйте блокировку на уровне реестра, согласование изменений или процедуры с участием нескольких администраторов, если такие возможности поддерживаются. Уведомления об изменениях DNS, серверов имён, контактных данных владельца домена и параметров продления могут помочь рано обнаружить попытку захвата домена. Защита конфиденциальности WHOIS может сократить объём общедоступных сведений, но не позволяет изъять записи, собранные в прошлом, поэтому считайте старые адреса и номера телефонов потенциально полезными для мошенников. Организациям следует использовать для администрирования доменов почтовые ящики, привязанные к служебным ролям, ограничивать доступ в соответствии с рабочими потребностями и оперативно отзывать его при уходе сотрудников. Постоянный мониторинг утечек и проверка журналов изменений снижают зависимость от единственной защитной меры.

Проверяя через LeakData, связан ли ваш адрес электронной почты с инцидентом Epik, учитывайте контекст результата. Совпадение означает, что адрес присутствует в проверенном наборе данных; оно не свидетельствует о том, что человек покупал услуги Epik, по-прежнему является клиентом или сейчас владеет связанным доменом. Если совпадение найдено, составьте список аккаунтов Epik, аккаунтов у регистраторов и хостинг-провайдеров, а также административных аккаунтов, созданных с этим адресом. Затем проверьте уникальность паролей, многофакторную аутентификацию, данные для восстановления доступа и блокировки доменов. Отсутствие совпадения не даёт абсолютной гарантии: набор данных может быть неполным, мог использоваться другой адрес или могут появиться дополнительные сведения. Продолжайте пользоваться уведомлениями об активности в аккаунтах и проводить периодические проверки. В сообщениях, связанных с инцидентом, проверяйте домен отправителя и адрес, на который ведёт ссылка, а не доверяйте отображаемому имени. Подозрительные запросы проверяйте через официальный канал поддержки, который вы открыли самостоятельно.