Experian (2015) Предполагаемое раскрытие данных

В этой записи представлены следующие категории данных: сведения о кредитном статусе, даты рождения, адреса электронной почты, сведения об этническом происхождении, состав семьи, пол, сведения о наличии жилья в собственности, уровень дохода, IP-адреса, имена, номера телефонов, почтовые адреса и покупательские привычки. В совокупности эти поля создают не только риски, связанные с возможностью связаться с человеком, но и риск составления подробного потребительского профиля. Имя, адрес, телефон и электронная почта позволяют идентифицировать человека и установить с ним контакт. Сведения о кредитном статусе, уровне дохода, владении жильем и покупательских привычках могут сделать сообщения, использующие приемы социальной инженерии, более убедительными.

Демографические сведения, такие как этническое происхождение, состав семьи и пол, также важны с точки зрения конфиденциальности. Эти данные могут использоваться в мошеннических целях под предлогом финансовых предложений, одобрения кредита, фиктивного взыскания долгов, оформления мошеннических заявок на услуги оператора или проверки личности. IP-адрес, в свою очередь, не является однозначным доказательством местоположения, но может дать представление об обстоятельствах использования учетной записи или примерном регионе. Поэтому запись Experian (2015) следует рассматривать не столько как случай захвата учетных записей с помощью паролей, сколько как совокупность идентификационных, кредитных и контактных данных, а также сведений о потребительском профиле.

В этой записи указано 7 196 890 учетных записей, а датой события обозначено 16 сентября 2015 года. Согласно официальным заявлениям T-Mobile/Experian за 2015 год, инцидент мог затронуть около 15 миллионов человек, которые подали заявки на проверку кредитоспособности для получения услуг T-Mobile или финансирования покупки устройств в период с 1 сентября 2013 года по 16 сентября 2015 года. Однако точный источник набора данных на 7,2 миллиона учетных записей, представленного в этой записи каталога для поиска, не был полностью подтвержден. Поэтому эти два числа не следует объединять в единое число пострадавших: 15 миллионов отражает официальный масштаб инцидента, а 7 196 890, отдельное количество учетных записей, доступных для поиска в рамках этой записи каталога.

В официальных заявлениях указывалось, что системы и сеть T-Mobile не были взломаны напрямую, а инцидент был связан с данными клиентов на стороне Experian. Кроме того, сведения о финансовых счетах или платежных картах не следует указывать как подтвержденную категорию данных в этой записи. Хотя в официальном описании инцидента сообщалось, что поля с идентификационными номерами хранились в зашифрованном виде и эта защита могла ослабнуть, перечень категорий данных в этой записи каталога для поиска должен ограничиваться перечисленными выше полями потребительского профиля. Такое ограничение необходимо, чтобы показать пользователю реальный риск и не представлять как установленные факты сведения, источник которых не был однозначно подтвержден.

В группу наибольшего риска входят люди, которые в период 2013-2015 годов подавали заявки на проверку кредитоспособности для получения услуг T-Mobile или финансирования покупки устройств. Сочетание их имен, адресов, дат рождения и сведений об оценке кредитоспособности может сделать более убедительными мошеннические схемы с фиктивными кредитными предложениями, звонками якобы от службы поддержки оператора, проверкой личности под ложным предлогом или взысканием долгов. Телефон и электронная почта упрощают злоумышленнику прямой контакт с человеком, а почтовый адрес может повысить риск социальной инженерии с использованием поддельных документов, почтовых отправлений или доставок.

Люди, в профилях которых есть сведения об уровне дохода, наличии жилья в собственности, составе семьи и покупательских привычках, могут стать объектами более целенаправленных кампаний. Эти данные могут использоваться для подготовки финансовых предложений или сообщений о продлении кредита, которые кажутся подходящими для материального положения человека. Наличие демографических данных, в свою очередь, повышает риск дискриминации, нежелательного профилирования и утраты конфиденциальности. Поэтому эту запись следует рассматривать не просто как старый клиентский файл, а как набор чувствительных данных, несущий риск кражи личности и составления потребительских профилей.

Если вы обнаружили совпадение с этой записью, прежде всего проверьте свои кредитные отчеты и финансовые счета на наличие необычных заявок, открытых счетов или изменений адреса. Рассмотрите такие меры защиты, как замораживание доступа к кредитной истории или отметка о риске мошенничества, если они доступны в вашей стране. С осторожностью относитесь к полученным по электронной почте или телефону сообщениям об одобрении кредита, учетной записи у оператора, финансировании покупки устройства, реструктуризации долга или запросам на проверку личности. Даже если сообщение выглядит подлинным, прежде чем переходить по ссылкам, самостоятельно откройте официальный сайт соответствующей организации и проверьте информацию.

Звонки, в которых используются ваш адрес, дата рождения, номер телефона и электронная почта, могут казаться более убедительными. Поэтому не доверяйте звонящему, даже если в качестве доказательства он приводит уже известные ему персональные сведения. Не принимайте поспешных решений по вопросам кредитных заявок, замены SIM, покупки устройств в рассрочку или проверки учетной записи. Используйте надежный пароль и многофакторную аутентификацию для своей электронной почты. Если у вас сохранились документы от прежнего оператора или документы по кредитным заявкам, проверьте, кому передавались ваши идентификационные данные.

В долгосрочной перспективе необходимо регулярно отслеживать использование персональных сведений, предоставляемых при подаче финансовых заявок и заявок на услуги операторов. Кредитные бюро, операторы и посредники, работающие с данными, могут хранить множество сведений для проверки пользователя и формирования его профиля, поэтому один инцидент способен открыть путь к различным цепочкам мошенничества. Пользователям следует регулярно проверять кредитные отчеты, отслеживать уведомления об изменении адреса, не оставлять старые номера телефонов в качестве способов восстановления доступа и включать уведомления об операциях по важным счетам.

Для организаций инцидент Experian (2015) показывает, что безопасность сторонних компаний, обрабатывающих данные, напрямую влияет на безопасность клиентов. Оператор не должен хранить сведения, используемые при кредитовании, финансировании и проверке личности, дольше необходимого. Шифрование, контроль доступа, подробное журналирование и аудит поставщиков должны проводиться регулярно. Со стороны пользователя долгосрочному снижению риска способствуют отказ от передачи персональных данных ненужным платформам, учет организаций, которые хранят сведения о его финансовом профиле, и умение распознавать поддельные обращения от кредитных организаций и операторов.

Пользователям, чьи данные совпадают с записью Experian (2015), следует воспринимать этот результат не как однозначное доказательство кражи личности, а как сигнал о риске, требующий повышенного внимания. Запись имеет неподтвержденный статус. Тем не менее, если совпадающие адрес электронной почты, имя, адрес, телефон или сведения о финансовом профиле объединяются с информацией из других источников, риск мошенничества возрастает. Поэтому мониторинг кредитных отчетов, уведомления по финансовым счетам, безопасность учетной записи у оператора и защиту электронной почты следует рассматривать в комплексе.

Эта запись подготовлена для объяснения инцидента Experian (2015) без преувеличений и смешения чисел. Официально описанный инцидент T-Mobile/Experian затронул около 15 миллионов заявителей; этот показатель следует отличать от количества учетных записей, доступных для поиска в рамках этой записи каталога, 7 196 890. Запись сохраняет неподтвержденный статус, поскольку источник набора данных установить не удалось. Пользователю следует отслеживать активность, связанную с кредитами и использованием его идентификационных данных, проверять подозрительные сообщения от операторов и финансовых организаций, усиливать защиту учетных записей, используемых для связи, и вести долгосрочное наблюдение за возможным неправомерным использованием данных личного профиля.