Eroticy Предполагаемое раскрытие данных

К подтверждённым категориям данных относятся адреса электронной почты, IP-адреса, имена, пароли, история платежей, номера телефонов, физические адреса, имена пользователей и сведения об активности на сайте. Такой набор чувствительнее обычного списка аккаунтов, поскольку в одном файле объединены контактные данные, информация, связанная с местоположением, сведения о платёжных отношениях и сведения об участии в сервисе с контентом для взрослых. Злоумышленники могут использовать эти поля для сопоставления личности с другими данными, фишинга, шантажа, захвата аккаунтов и социального давления.

Адреса электронной почты и имена пользователей можно сопоставить с профилями человека на разных платформах. Пароли, особенно если они хранятся в открытом виде или недостаточно защищены, можно напрямую попробовать для входа в другие аккаунты. IP-адреса дают сведения о примерном местоположении и истории подключений. Номера телефонов и физические адреса предоставляют более конкретную информацию о потенциальной жертве для преследования вне интернета, фиктивных доставок, фишинговых атак или персонализированных попыток мошенничества.

История платежей и активность на сайте могут раскрывать не только возможные финансовые отношения, но и то, когда пользователь взаимодействовал с сервисом, какого типа был этот сервис и как была устроена система регистрации и участия. Если такой контекст связан с сервисом с контентом для взрослых, последствия для конфиденциальности становятся серьёзнее. Поэтому утечку Eroticy следует рассматривать не только как проблему безопасности паролей, но и как угрозу личной репутации и неприкосновенности частной жизни.

В записи об инциденте Eroticy указана дата утечки 1 июня 2015 года, дата добавления в базу (10 января 2017 года, а число затронутых уникальных аккаунтов) 1 370 175. Известно, что набор данных был замечен в обороте в конце 2016 года, содержит множество полей с персональными данными и что некоторые затронутые люди подтвердили подлинность этих данных. Тем не менее инцидент должен сохранять статус неподтверждённого, поскольку не доказано, что все данные были получены исключительно из системы Eroticy.

Это различие крайне важно для корректного информирования пользователей. Данные могут принадлежать реальным людям и создавать серьёзные риски, однако точный источник утечки остаётся неопределённым. Поэтому в описании не следует утверждать, что установлен конкретный злоумышленник или точная техническая причина, а также приводить неподтверждённые сведения о компонентах системы. По той же причине номер платёжной карты, банковский счёт, номер официального удостоверения личности, номер социального страхования или паспорт не следует добавлять в список подтверждённых категорий данных.

Масштаб инцидента ограничен набором данных, который распространяется под названием Eroticy и содержит признаки связи с экосистемой сервисов для зарегистрированных участников и партнёрских программ в сфере контента для взрослых. В разных источниках число строк может быть выше, однако для количества уникальных аккаунтов следует использовать значение 1 370 175. Повторяющиеся строки, старые записи об участии в сервисах или сведения из нескольких системных таблиц могут увеличивать общее число строк. При отображении последствий для пользователя за основу следует брать количество уникальных аккаунтов.

В группу наибольшего риска входят люди, которые до 2015 года или примерно в то время использовали одни и те же адрес электронной почты и пароль на связанных с Eroticy сайтах с контентом для взрослых, при оплате или на страницах для участников. Риск захвата аккаунтов высок для пользователей, повторно использующих один пароль в социальных сетях, электронной почте, аккаунтах небанковских платёжных сервисов или на форумах. Даже если пароль кажется устаревшим, злоумышленники могут пробовать похожие варианты.

Риск целевого мошенничества выше для людей, которые указали номер телефона, настоящее имя и физический адрес в одном и том же сервисе для зарегистрированных участников. Используя сведения о связи пользователя с контентом для взрослых, злоумышленники могут попытаться запугать пользователя, потребовать оплату или придать убедительность ложной угрозе. Для тех, кто использует корпоративную почту, установление связи между участием в таком сервисе в личных целях и профессиональной идентичностью также может создать репутационный риск.

Пользователям, чьи данные содержат историю платежей, следует особенно осторожно относиться к фишинговым сообщениям с фиктивными счетами, уведомлениями о продлении участия в сервисе или возврате платежей. Сведения об активности на сайте и имена пользователей также могут использоваться для составления профиля прошлых действий. Эти риски сохраняются даже при неопределённости точного источника инцидента, поскольку персональные данные выглядят подлинными и пригодными для использования в атаках.

Затронутому пользователю прежде всего следует полностью отказаться от пароля, который он использовал в Eroticy или в потенциально связанных сервисах для зарегистрированных участников с контентом для взрослых. Если тот же или похожий пароль используется в других аккаунтах, для каждого из них нужно выбрать новый, длинный и уникальный пароль. В первую очередь следует защитить основные аккаунты электронной почты, социальных сетей, платёжных сервисов и аккаунты, используемые для сброса паролей. Там, где это возможно, следует включить двухфакторную аутентификацию.

Поскольку номер телефона и физический адрес могли попасть в утечку, пользователю следует осторожно относиться к неожиданным звонкам, сообщениям о доставке, фиктивным запросам на оплату и угрозам, связанным с контентом для взрослых. Наличие в сообщении настоящего названия сервиса, старого пароля или адреса не означает, что сообщению можно доверять. Ссылки для сброса пароля, уведомления об оплате и формы прекращения участия в сервисе следует проверять только при прямом обращении к сервису из доверенного сеанса браузера.

Пользователям, чьи данные содержат историю платежей, следует проверять выписки по картам и уведомления платёжных сервисов на необычную активность. В этом инциденте наличие поля с номером карты напрямую не подтверждено, однако платёжный контекст всё равно может сделать мошеннические сообщения убедительнее. Не следует отправлять деньги в ответ на сообщения с угрозами или шантажом на тему контента для взрослых, полученные с того же адреса электронной почты. При наличии материалов, касающихся безопасности аккаунтов, их следует сохранить отдельно.

Инцидент Erotic показывает долгосрочный риск использования настоящих личных данных и основного адреса электронной почты при регистрации в сервисах чувствительного характера. На подобных платформах пользователям следует предпочитать отдельный почтовый псевдоним, уникальный пароль и ограниченный объём сведений в профиле. Необязательные поля, такие как телефон, адрес, настоящее имя и местоположение, следует оставлять пустыми или ограничивать их видимость. Менеджер паролей, один из наиболее эффективных инструментов для устойчивого сокращения повторного использования паролей.

Самый безопасный с точки зрения конфиденциальности подход, отделять данные аккаунтов в чувствительных сервисах от основной идентичности. Имя пользователя не должно совпадать с именами в других социальных профилях, а адрес электронной почты не должен напрямую связываться с личной или рабочей идентичностью. Старые пароли следует извлечь из архива, а контрольные вопросы не должны основываться на персональных данных. Если номер телефона не обязателен, его не следует добавлять в аккаунт; если он необходим, лучше использовать канал, предназначенный только для подтверждения.

В организациях следует помнить, что сотрудники могут получать адресные сообщения с шантажом из-за утечек с платформ с контентом для взрослых или других чувствительных сервисов. Обучение информационной безопасности должно охватывать не только технические правила работы с паролями, но и сценарии шантажа и социального давления с использованием персональных данных. Цель в таких случаях, не стигматизировать человека, а снизить риски для безопасности аккаунтов и конфиденциальности.

Пользователю, который хочет понять, затронула ли его утечка данных Eroticy, следует проверить соответствующий адрес электронной почты через доверенный интерфейс проверки аккаунтов. Положительный результат означает, что адрес электронной почты входит в чувствительный и неподтверждённый набор данных, распространяющийся под названием Eroticy. Неопределённость источника не означает отсутствия риска: если пароль, телефон, адрес и история платежей подлинные, злоумышленники всё равно могут их использовать.

Пользователям с положительным результатом проверки следует изменить пароли во всех аккаунтах, где используется тот же пароль, проверить настройки входа и восстановления доступа к основной электронной почте, включить двухфакторную аутентификацию и быть готовыми к сообщениям с шантажом на тему контента для взрослых. Также следует проверить старые адреса электронной почты и псевдонимы, поскольку набор данных может содержать старые записи об участии в сервисах. При отрицательном результате другие адреса электронной почты, использовавшиеся в тот же период, всё равно следует проверить отдельно.

Наиболее подходящие меры в связи с этой утечкой не ограничиваются сменой пароля. Пользователю следует комплексно учитывать риски сопоставления личности с другими данными, телефонного преследования, использования физического адреса, мошенничества, связанного с платежами, и давления с использованием частной информации. Запись об Eroticy должна сохранять статус чувствительной и неподтверждённой, однако с учётом содержащихся в ней типов персональных данных эту утечку следует считать требующей принятия первоочередных мер безопасности.