Утечка данных Exactis

Записи Exactis включают поля, позволяющие напрямую установить личность: адреса электронной почты, полные имена, номера телефонов, физические адреса, IP-адреса и даты рождения. Также перечислены данные профиля: сведения о кредитном статусе, уровне образования, этнической принадлежности, семейном статусе, интересе к финансовым инвестициям, поле, владении жильём, уровне дохода, семейном положении, диапазоне размера чистого капитала, роде занятий, личных интересах, религии и языках, которыми владеет человек. Такое сочетание данных может позволить злоумышленникам разрабатывать персонализированные мошеннические схемы, отправлять адресные сообщения, звонить от имени службы поддержки или создавать фишинговые сценарии, не зная ни одного пароля.

Самая опасная особенность этой утечки, объединение фрагментов данных, которые по отдельности могут казаться незначительными. Адрес электронной почты, номер телефона и физический адрес позволяют легко связаться с человеком, а сведения о доходах, домохозяйстве и интересах подсказывают, какие обещания или приёмы давления могут оказаться более убедительными. Поэтому раскрытие данных Exactis повышает риски социальной инженерии, злоупотребления адресной рекламой, мошенничества и дискриминации на основе данных профиля в большей степени, чем риск захвата учётной записи.

Подтверждённый объём составляет 131 577 763 уникальных учётных записи. Этот показатель учитывается отдельно от заявлений о более крупном исходном наборе данных и используется на экране проверки для пользователя. Дата утечки зафиксирована как 1 июня 2018 года, а даты добавления и последнего изменения, как 25 июля 2018 года. Для Exactis указан домен exactis.com; страна компании, США, а её отрасль определена как торговля данными и маркетинговые данные.

Пароли, реквизиты платёжных карт, банковских счетов и номера социального страхования не входят в число подтверждённых категорий данных Exactis. Однако это не означает, что риск низок. Объединение таких полей профиля, как кредитный статус, доход, адрес, сведения о семье и убеждениях, может сделать человека более уязвимым к подбору ответов на контрольные вопросы, адресным мошенническим схемам и поддельной переписке от имени организаций. Поэтому с учётом уровня риска, числа записей и подробности профилей уровень серьёзности этой утечки сохранён как «Критический».

С наибольшей вероятностью этот инцидент затрагивает людей, включённых в потребительские профили или маркетинговые списки в США. Даже если человек никогда не пользовался Exactis, его имя, адрес электронной почты или почтовый адрес могли быть собраны из сторонних списков в рамках модели торговли данными. Поэтому риск не зависит от наличия реальной пользовательской учётной записи в традиционном смысле.

Пользователи, которые часто взаимодействуют с организациями и кампаниями в сферах продаж, недвижимости, финансов, здравоохранения, образования или сбора пожертвований, могут оказаться более заметными целями. Кроме того, старые поля профиля людей, долгое время использующих один и тот же номер телефона и адрес электронной почты, всё ещё могут применяться в попытках мошенничества. Сведения о семейном положении, роде занятий, доходе и интересах помогают злоумышленнику придать сообщению личный и убедительный характер. Поэтому особенно осторожно следует относиться к просьбам, поступающим по телефону, в текстовых сообщениях и по электронной почте.

Поскольку среди подтверждённых категорий данных в записи Exactis нет паролей, первоочередные действия не должны ограничиваться только сменой пароля. Прежде всего пользователям следует тщательнее проверять неожиданные обращения, поступающие на их электронную почту, телефон и физический адрес. Если сообщение касается финансов, доставки грузов, государственных учреждений, страхования, школы, благотворительных кампаний или продления подписки, перед переходом по любой ссылке необходимо проверить его через официальный канал связи соответствующей организации.

Для электронной почты следует использовать надёжный уникальный пароль и по возможности включить многофакторную аутентификацию. В учётной записи мобильного оператора следует установить дополнительный PIN или защитный пароль для замены SIM, переноса номера и операций через службу поддержки. Поскольку данные Exactis включают адреса и номера телефонов, не следует сразу сообщать сведения о себе в ответ на поддельные уведомления о доставке или задолженности, инвестиционные предложения либо звонки с опросами. К формам, запрашивающим дату рождения, доход и сведения о семье, необходимо относиться с осторожностью.

При раскрытии данных у подобных брокеров долгосрочная стратегия должна быть направлена не только на защиту одной учётной записи, но и на то, чтобы затруднить повторное использование личного профиля. Вместо одного адреса электронной почты для всех сервисов пользователи могут выбрать отдельные адреса для финансов, покупок, социальных сетей и рассылок. Если сервис нужен лишь для участия в акции или пробного использования, отдельный адрес вместо постоянного основного снижает риск последующего сопоставления данных.

Следует регулярно проверять кредитные отчёты и финансовые операции, а также подключить сервисы уведомлений об открытии новых счетов или подозрительных запросах кредитной информации. Можно ознакомиться с официальными формами для удаления данных из списков брокеров, однако важно помнить, что такие процедуры не всегда дают постоянный результат. Лучшая защита, не принимать поспешных решений при неожиданных обращениях, не вводить сведения из личного профиля в ненужные формы и использовать дополнительную проверку для особо важных учётных записей.

Если данные пользователя найдены в результатах Exactis на LeakData, эту запись следует рассматривать не как утечку пароля, а как раскрытие подробного профиля. Совместное присутствие адресов электронной почты, номеров телефонов, адресов и демографических полей может упростить попытки создать убедительные фишинговые сообщения, совершать персонализированные звонки и подбирать ответы на контрольные вопросы. Поэтому при появлении предупреждения следует проверить все важные учётные записи, использующие тот же адрес электронной почты и номер телефона, а не только соответствующий сайт.

После проверки наиболее уместны следующие действия: усилить защиту электронной почты, включить многофакторную аутентификацию, добавить дополнительный код безопасности к учётной записи мобильного оператора, отслеживать финансовые операции и избегать неожиданных контактов. Также следует внимательно проверять письма, которые выглядят официальными и приходят на физический адрес, просьбы сообщить код подтверждения по телефону и опросы, запрашивающие личные сведения. Запись Exactis следует считать свидетельством утечки с серьёзными последствиями: она указывает на то, что цифровые и физические каналы связи человека могут стать целью злоумышленников, даже если данные аутентификации не утекли.