Утечка данных Estante Virtual

Среди подтверждённых типов данных в этом инциденте, имена, имена пользователей, адреса электронной почты, физические адреса, номера телефонов, даты рождения и пароли. Хранение паролей в формате SHA-1 без соли повышает риск: хотя такие хеши теоретически обеспечивают защиту даже для надёжных, уникальных и длинных паролей, они могут облегчить атаки с подбором и сопоставлением слабых или повторно используемых паролей. Сочетание адреса электронной почты и имени пользователя может помочь злоумышленникам связать разные аккаунты с одним человеком. Номера телефонов и физические адреса, в свою очередь, могут использоваться для целевого мошенничества: поддельных уведомлений о доставке, звонков от мнимой службы поддержки, сообщений под предлогом необходимости возобновить оплату или ловушек с проверкой аккаунта.

Дата рождения сама по себе не подтверждает личность человека при финансовых операциях, однако в сочетании с адресом, телефоном и электронной почтой риск становится более ощутимым. Злоумышленник может использовать эти сведения, чтобы подготовить сообщения, которые, на первый взгляд, соответствуют покупательским привычкам человека, попытаться угадать ответы на вопросы для сброса пароля или захватить аккаунты на других платформах с помощью тех же данных. В контексте книжной торговой площадки читательские предпочтения пользователей, связи между продавцами и покупателями, а также история доставки могут сделать сценарии социальной инженерии ещё убедительнее. Поэтому следует проверить безопасность не только аккаунта Estante Virtual, но и других аккаунтов, созданных с теми же контактными данными.

Подтверждённое число затронутых аккаунтов, на котором основана эта запись, составляет 5 412 603, а датой утечки указано 28 февраля 2019 года. В некоторых каталогах данных количество строк в исходном наборе может быть выше, но оно не всегда соответствует числу уникальных людей или клиентов. Несколько строк, относящихся к одному пользователю, профилю продавца, части адреса, полю аккаунта или повторяющемуся элементу данных, могут учитываться как отдельные записи. Поэтому в общедоступной записи для оценки числа затронутых аккаунтов следует использовать подтверждённый показатель на уровне 5,4 миллиона, а более высокие заявленные количества строк не следует представлять как число уникальных пострадавших.

При оценке типов данных следует ограничиваться такими полями, как имя, имя пользователя, адрес электронной почты, физический адрес, номер телефона, дата рождения и пароль. В этой записи перечень подтверждённых категорий данных должен оставаться в пределах указанных выше личных контактных сведений, идентификаторов аккаунта и полей паролей. Наличие сведений о паролях не означает, что они были раскрыты одинаковым образом для всех пользователей или что все пароли хранились в открытом виде. Запись следует описывать с точки зрения риска, связанного с хешами паролей SHA-1, защищёнными надёжной солью. Это различие важно и для точной передачи уровня риска пользователю, и для того, чтобы не преувеличивать масштаб инцидента.

Наибольшему риску подвержены люди, которые используют пароль от аккаунта Estante Virtual и в других сервисах. Если тот же пароль используется для электронной почты, интернет-магазинов, профилей в социальных сетях или платформ, связанных с платежами, злоумышленники могут применять сведения из ранее полученных наборов данных для автоматизированных попыток входа. Особенно серьёзные последствия возможны при компрометации почтового аккаунта: через ссылки для сброса пароля может быть затронута гораздо более широкая цепочка аккаунтов. Поэтому время, прошедшее с момента утечки, не устраняет риск: если старый пароль по-прежнему используется где-либо ещё, опасность сохраняется.

Отдельные риски есть и у продавцов, постоянных покупателей, коллекционеров книг, а также пользователей, которые давно не обновляли свой физический адрес на платформе. Продавцы могут получать больше целевых сообщений из-за деловой переписки, адресов доставки и связей с клиентами. Покупателей, в свою очередь, могут обманывать с помощью поддельных уведомлений о заказах, запросов на возврат, сообщений об изменении статуса доставки или предлогов для повторной активации аккаунта. Пользователям, у которых указан номер телефона, следует внимательнее относиться к мошенничеству через SMS и звонки, а тем, у кого указана дата рождения, к попыткам использовать вопросы для проверки личности. Для людей, годами пользующихся одним адресом электронной почты, объединение этих данных с другими старыми утечками повышает риск составления профиля.

В первую очередь необходимо выяснить, используется ли пароль от аккаунта Estante Virtual где-либо ещё. Если тот же или похожий пароль действует в другом аккаунте, для каждого сервиса следует установить уникальный, длинный и надёжный пароль. Не стоит ограничиваться сменой пароля в Estante Virtual: её следует провести и в аккаунтах интернет-магазинов, электронной почты, платёжных сервисов, социальных сетей и облачных сервисов, где используется та же комбинация адреса электронной почты и пароля. Менеджер паролей помогает выявлять повторяющиеся пароли и создавать надёжные.

Для почтового аккаунта следует включить многофакторную аутентификацию, а также проверить недавние сеансы и действия по сбросу пароля. Поскольку номера телефонов и адреса могли попасть в утечку, необходимо внимательно проверять неожиданные сообщения о доставке, звонки от мнимой службы поддержки, ссылки для проверки аккаунта и запросы на обновление платёжных данных. Не следует использовать личные сведения, например дату рождения или адрес, в качестве пароля, PIN или ответа на контрольный вопрос. Способы восстановления аккаунта нужно обновить, а старые адреса электронной почты и номера телефонов для восстановления, которыми вы больше не пользуетесь, удалить.

Такие давние утечки, последствия которых всё ещё ощутимы, требуют от пользователей устойчивого изменения привычек в обращении с паролями. Основные меры защиты, уникальный пароль для каждого аккаунта, многофакторная аутентификация везде, где она доступна, и регулярное закрытие старых аккаунтов. Вместо одного адреса электронной почты для всех сервисов можно использовать отдельные адреса или средства маскирования адреса для важных аккаунтов. В таком случае набор данных с торговой площадки нельзя будет напрямую сопоставить с аккаунтами финансовых сервисов или личной переписки.

Для организаций инцидент Estante Virtual подчёркивает важность способов хранения паролей и минимизации данных. Хеши паролей следует защищать современными медленными алгоритмами с добавлением соли; адреса, номера телефонов и даты рождения (удалять, когда необходимость в них отпадает; а данные продавцов и покупателей) защищать раздельными механизмами контроля доступа. Со стороны пользователей вероятность долгосрочного ущерба снижают учёт старых аккаунтов, закрытие неиспользуемых аккаунтов, применение псевдонимов электронной почты и регулярный просмотр уведомлений безопасности.

Если вы пользовались Estante Virtual или ранее создавали аккаунт на estantevirtual.com.br, при проверке регистрации необходимо выяснить, связан ли ваш адрес электронной почты с этим инцидентом. Если вы обнаружите совпадение, сначала определите, в каких других аккаунтах используется тот же пароль, а затем замените пароли в них на уникальные. Недостаточно просто слегка изменить старый пароль и использовать его снова: злоумышленники могут автоматически проверять распространённые варианты паролей. В первую очередь займитесь почтовым аккаунтом, поскольку восстановление доступа к другим аккаунтам обычно проходит через электронную почту.

Номер телефона, адрес и дата рождения также расширяют возможные последствия инцидента, поэтому не ограничивайтесь сменой пароля. Получая сообщения о доставке, заказах книг, возвратах, платежах, проверке аккаунта или поддержке клиентов, проверяйте доменное имя, прежде чем переходить по ссылкам. Если собеседник просит предоставить ваши данные, завершите звонок и выполните нужное действие, самостоятельно открыв официальный сайт. Эта запись подготовлена, чтобы на основе подтверждённого числа затронутых аккаунтов и типов утекших данных Estante Virtual помочь пользователям принять меры. Её цель, ясно показать риск без преувеличений, уделив особое внимание повторному использованию паролей и возможности целевого мошенничества.