Утечка данных Fanpass

В этой записи перечислены следующие типы данных: адреса электронной почты, пол, имена, неполные даты рождения, пароли, номера телефонов, почтовые адреса, покупки и профили в социальных сетях. Если адрес электронной почты, имя, номер телефона и адрес доступны вместе, становится проще связаться с пользователем напрямую и выдать себя за настоящего клиента. История покупок позволяет понять, с каким мероприятием или операцией с билетами могут быть связаны данные, и делает мошеннические сообщения о возврате средств, передаче билетов, отправке или перепродаже более убедительными. Информация о профилях в социальных сетях создает риск сопоставления данных с личностью болельщика и его публичной активностью в интернете. Хеши паролей, это не пароли в открытом виде; однако для людей, которые используют тот же пароль в других аккаунтах, риск высок. Неполная дата рождения также может дать полезный контекст для восстановления доступа к аккаунту или сообщений, использующих социальную инженерию.

Основной подтвержденный показатель: 112 251 запись о клиентах. Категории данных ограничены контактной информацией, неполной датой рождения, профилем в социальных сетях, историей покупок и хешами паролей с добавлением соли. Полный номер платежной карты, код безопасности карты, банковский счет, официальный документ, удостоверяющий личность, полная дата рождения, штрихкод билета и содержимое личных сообщений не входят в число подтвержденных полей этой записи. Наличие истории покупок указывает на возможность связать данные с прошлыми операциями пользователя с билетами; это не означает, что данные платежной карты были раскрыты. Поскольку Fanpass, сервис покупки и продажи билетов на футбольные матчи, основные риски связаны с поддельными билетами, мошенническими возвратами средств, захватом аккаунтов и сопоставлением данных с профилями в социальных сетях. Необходимо соблюдать эти границы и четко объяснять пользователю, что подтверждено, а что нет.

Основная группа риска, клиенты, которые покупают или продают билеты на футбольные матчи через Fanpass либо создают для этого аккаунты. Пользователи, чьи номера телефонов и почтовые адреса попали в утечку, могут стать целью мошеннических обращений по поводу доставки, передачи билетов или возврата средств. Люди, чья история покупок присутствует в данных, могут получать персонализированные сообщения о матчах, командах или мероприятиях, которыми они интересовались ранее. Более высокому риску подвержены те, кто использует один и тот же пароль для электронной почты, социальных сетей, билетных и платежных сервисов или форумов болельщиков. Пользователей с профилями в социальных сетях легче идентифицировать через группы болельщиков или публичные профили. Матчи с высоким спросом, билеты на дерби или мероприятия, до которых осталось мало времени, могут помочь злоумышленникам создать ощущение срочности. Аккаунты, через которые покупают билеты для малого бизнеса или корпоративных целей, также могут получать поддельные счета и мошеннические сообщения о передаче билетов.

Если ваш адрес электронной почты присутствует в этой записи, больше не считайте пароль от вашего аккаунта Fanpass безопасным. Установите отдельный уникальный пароль для каждого аккаунта электронной почты, социальных сетей, билетных, платежных и торговых сервисов, где вы используете тот же или похожий пароль. Включите многофакторную аутентификацию в сервисах, которые ее поддерживают. Прежде чем переходить по ссылкам в неожиданных сообщениях о передаче билетов, возврате средств, перепродаже, доставке, проверке аккаунта или изменениях в мероприятии, войдите в свой аккаунт напрямую через известный вам веб-адрес. Даже если звонящий знает ваше имя, адрес или сведения о прошлой операции с билетами, не сообщайте данные карты, банковские реквизиты, одноразовые коды или пароли от аккаунтов. Также проверяйте предложения билетов, полученные через социальные сети, и личность продавца перед оплатой.

Аккаунты билетных сервисов уязвимы для мошенничества из-за высокого спроса и давления, побуждающего действовать срочно. Пользователям следует использовать уникальные пароли для каждого аккаунта в билетных сервисах и социальных сетях, отдавать предпочтение менеджеру паролей и закрывать старые аккаунты. Нужно регулярно проверять настройки конфиденциальности в сервисах, где хранится история покупок и есть связи с профилями в социальных сетях. Если не хранить номера телефонов и почтовые адреса в ненужных аккаунтах, долгосрочный риск снижается. Со стороны платформы необходимо защищать хеши паролей надежными современными методами, управлять сроками хранения старых записей о покупках и сопровождать сообщения о передаче билетов и возврате средств четкими инструкциями по проверке подлинности. При обучении пользователей следует уделять особое внимание сценариям с поддельными билетами, мошенническими возвратами средств и передачей билетов, а также платежным мошенничеством через социальные сети.

Проверка в LeakData показывает, присутствует ли ваш адрес электронной почты в утечке Fanpass. Положительный результат не указывает на наличие данных платежной карты, банковского счета или официального документа, удостоверяющего личность, среди подтвержденных категорий данных; подтвержденный риск связан со злоупотреблением адресом электронной почты, именем, номером телефона, адресом, неполной датой рождения, историей покупок, профилем в социальных сетях и хешами паролей с добавлением соли. Пользователю следует сменить повторно используемые пароли, в первую очередь защитить аккаунты билетных сервисов и электронной почты, проверять сообщения о возврате средств и передаче билетов на признаки мошенничества и снижать риск сопоставления данных с профилями в социальных сетях. Если тот же адрес электронной почты присутствует в других утечках из билетных сервисов, интернет-магазинов или социальных сетей, риск возрастает: злоумышленники могут создавать более убедительные сообщения, объединяя сведения об интересах болельщика, истории покупок и контактные данные.