Утечка данных Facebook

К подтвержденным категориям данных относятся даты рождения, адреса электронной почты, сведения о работодателе, пол, географическое местоположение, имена, номера телефонов и семейное положение. Самая существенная особенность набора данных, наличие номеров телефонов в большом числе записей. Адреса электронной почты встречаются лишь в небольшой части записей, а не во всех аккаунтах. Неподтвержденные сведения о количестве людей и полях данных, а также заявления злоумышленников не включаются в публично описываемый масштаб инцидента. Сочетание номера телефона и имени создает надежную основу для персонализированных сообщений, поддельных уведомлений о доставке, сообщений под видом банковских оповещений и мошенничества с восстановлением доступа к аккаунтам.

Такие поля, как дата рождения, местоположение и работодатель, дают дополнительные сведения, которые делают сообщение злоумышленника убедительным. Поля профиля, например семейное положение и пол, сами по себе не обеспечивают доступ к финансовым счетам, но могут использоваться для выбора целей, социального давления и попыток убедить конкретного человека. Отсутствие паролей среди подтвержденных категорий данных не означает, что риск исчез. Если номер телефона остался прежним, у злоумышленника могут быть некоторые сведения, которые запрашивают для подтверждения личности на экранах восстановления доступа или при общении со службой поддержки.

Дата утечки указана как 1 августа 2019 года, подтвержденная дата добавления записи (4 апреля 2021 года, а дата последнего изменения сведений о проверке) 6 апреля 2021 года. Число затронутых аккаунтов оценивается в 509 458 528. В разных новостных публикациях могут приводиться более высокие числа по исходным данным; здесь используется подтвержденное количество записей, на котором основаны экраны поиска и уведомления пользователей. Утекшие поля ограничиваются сведениями из профилей и контактной информацией. Финансовые данные, сведения о здоровье, содержимое личных сообщений и пароли не входят в подтвержденный объем данных этого инцидента.

Первопричиной инцидента стало злоупотребление прежним механизмом поиска людей, который позволял сопоставлять номера телефонов с профилями пользователей. Компания сообщила, что внесла изменения в этот механизм в 2019 году. Тем не менее нельзя считать, что риск остался в прошлом: в 2021 году набор данных распространялся бесплатно и был широко доступен. Поскольку он содержал номера телефонов, имена и сведения из профилей, которые у большинства пользователей оставались неизменными в течение многих лет, последствия для безопасности могут сохраняться долгое время.

Наибольшему риску подвергаются люди, которые указали номер телефона в профиле Facebook и по-прежнему пользуются этим номером. Особую осторожность следует соблюдать тем, кто использует номер телефона как элемент аутентификации в банковских сервисах, облачных аккаунтах, электронной почте, рабочих системах или при операциях у мобильного оператора. Пользователи, у которых видны такие поля, как работодатель, местоположение или дата рождения, также могут столкнуться с более убедительными попытками социальной инженерии. Для небольшой группы пользователей, чьи адреса электронной почты попали в утечку, спектр рисков шире: когда телефон и электронная почта доступны вместе, проще нацеливать на конкретного человека мошеннические схемы, связанные с восстановлением доступа и сбросом пароля.

Косвенный риск существует и для пользователей, которые передали свой старый номер другому человеку. Если номер из набора данных теперь принадлежит другому пользователю, новый владелец может получать звонки или сообщения, предназначенные не ему. При этом прежнего владельца профиля могут ошибочно связывать с этим номером из-за его прошлой принадлежности. Владельцы малого бизнеса, государственные служащие, создатели контента и сотрудники, общающиеся с клиентами по телефону, более заметны, поэтому попытки злоупотребления их данными могут происходить чаще.

В первую очередь следует проверить, в каких аккаунтах номер телефона по-прежнему используется для аутентификации или восстановления доступа. По возможности вместо SMS стоит выбирать приложение для аутентификации или аппаратный ключ безопасности. В аккаунтах социальных сетей нужно проверить, кто может найти вас по номеру телефона, кому доступны сведения профиля и актуальны ли способы восстановления доступа. Прежде чем переходить по ссылкам, следует независимо проверять через официальный канал сервиса коды подтверждения, банковские оповещения, сообщения о доставке, предложения работы и сообщения о звонках службы поддержки, полученные от незнакомых людей.

Если в аккаунте мобильного оператора доступны такие меры защиты, как дополнительный пароль или подтверждение личности в салоне связи при замене SIM-карты и переносе номера, их следует включить. Пострадавшим пользователям также стоит использовать уникальные пароли и надежную двухфакторную аутентификацию, а также проверять историю сеансов в важных аккаунтах, связанных с тем же адресом электронной почты. В аккаунте Facebook нужно завершить неизвестные сеансы, пересмотреть список доверенных устройств и ограничить видимость профиля. Хотя этот инцидент не затрагивает пароли, злоумышленники могут использовать имеющиеся у них сведения профиля как предлог для сброса пароля.

Номер телефона, удобное средство связи, но он также служит долговременным идентификатором человека. Поэтому безопаснее использовать его только в аккаунтах, где он действительно необходим, а не оставлять один и тот же номер видимым во всех сервисах. Доступ к таким полям профилей в социальных сетях, как дата рождения, работодатель, местоположение и семейное положение, следует ограничить. Разные каналы связи для профессиональных и личных аккаунтов затрудняют связывание множества аккаунтов с помощью одного набора данных.

Корпоративным командам следует исходить из того, что номера телефонов сотрудников и сведения об их работодателе могут распространяться за пределами компании. Поэтому в процессах поддержки, кадровой работы и финансов нельзя полагаться только на запросы по телефону. При обслуживании клиентов и в работе службы технической поддержки легкодоступные сведения, такие как дата рождения, номер телефона или адрес, не должны быть единственным способом подтверждения личности. Обычным пользователям, в свою очередь, стоит сделать регулярную проверку конфиденциальности, обновление способов восстановления доступа, отправку жалоб на подозрительные SMS и обновление двухфакторной аутентификации постоянной практикой защиты.

Результат проверки не означает, что ваш пароль попал в утечку или что кто-то получил прямой доступ к вашему аккаунту. Тем не менее следует осторожно относиться к адресным сообщениям, которые могут приходить на ваш номер телефона, поддельным звонкам службы поддержки, попыткам мошеннического перевыпуска SIM-карты и мошенничеству с восстановлением доступа. В первую очередь нужно усилить двухфакторную аутентификацию в важных аккаунтах, связанных с вашим номером телефона, ограничить видимость профиля и никому не передавать коды подтверждения, которых вы не ожидали.

Если результат проверки отрицательный, это означает лишь, что в данном наборе данных совпадение не найдено. Для других инцидентов или более свежих наборов данных могут потребоваться отдельные проверки. Если вы пользуетесь своим номером телефона много лет, при принятии решений о безопасности стоит учитывать, что старые сведения профиля все еще могут распространяться. Особенно важно после смены номера проверить, что старый номер удален из способов восстановления доступа, а новый используется только в необходимых сервисах. Эта страница призвана спокойно объяснить пользователю, какие данные создают риск и какие действия следует предпринять в первую очередь.