Утечка данных Fashion Nexus

К подтверждённым типам данных в этой записи относятся адреса электронной почты, полные имена, номера телефонов, почтовые адреса, история покупок, даты рождения, сведения о поле, IP-адреса, информация user-agent браузера и данные паролей. Такое сочетание данных создаёт риски, выходящие за рамки обычной рассылки фишинговых сообщений. Если человек совершал покупки в магазине одежды в определённые периоды, использовал конкретный адрес доставки или указывал определённые контактные данные, эти сведения могут сделать убедительными мошеннические сообщения о возвратах, статусе доставки, акциях, оплате доставки, проверке аккаунта или отмене заказа.

Наличие данных паролей в виде хешей не означает, что пароль в открытом виде сразу доступен всем. Однако по современным требованиям к безопасности MD5 и SHA-1 считаются слабыми алгоритмами. Особый риск представляют значения MD5 без соли, поскольку их можно сравнительно быстро сопоставить с заранее подготовленными списками паролей. Добавление соли к значениям MD5 и SHA-1 усложняет атаку, но для коротких, повторно используемых или основанных на словарных словах паролей риск сохраняется. Поэтому, если пароль от Fashion Nexus или связанных магазинов использовался и на других сайтах, его следует сменить во всех таких аккаунтах.

Число подтверждённых уникальных аккаунтов соответствует 1 279 263 адресам электронной почты. Датой инцидента указано 9 июля 2018 года. Его охват включает несколько сайтов электронной торговли, разработанных White Room Solutions и связанных с розничной группой, известной как Fashion Nexus. В качестве примеров брендов упоминаются Jaded London и AX Paris. Поэтому вы могли создать аккаунт, оформить заказ или указать сведения для доставки в связанных магазинах одежды, даже если само название Fashion Nexus вам не знакомо.

Подтверждённые поля в этой записи ограничиваются перечисленными выше персональными данными и сведениями об аккаунтах. Полные номера платёжных карт, коды безопасности карт, банковские счета, официальные документы, удостоверяющие личность, и содержимое личных сообщений не входят в число подтверждённых полей данных в этой записи. Однако история покупок и адресные сведения, хотя они и не являются данными платёжных карт, могут указывать на реальные покупательские привычки пользователя, место доставки и каналы связи с ним. Поэтому охват утечки следует оценивать прежде всего с точки зрения сопоставления данных о личности, безопасности аккаунтов и риска адресной социальной инженерии, а не данных платёжных карт.

Наибольшему риску подвержены клиенты, которые используют один и тот же адрес электронной почты и один и тот же пароль в магазинах, связанных с сетью Fashion Nexus. Если этот пароль также используется для электронной почты, социальных сетей, интернет-магазинов, служб доставки, небанковских платёжных сервисов или рабочих аккаунтов, злоумышленники могут пытаться получить доступ к другим сервисам, перебирая пароли из списков. Особую осторожность следует проявлять тем, кто годами не менял старые пароли, использует один пароль на нескольких сайтах и не включил двухфакторную аутентификацию для электронной почты.

Для клиентов, чьи адреса и телефоны попали в утечку, риск не ограничивается попытками доступа к онлайн-аккаунтам. Злоумышленники могут выдавать себя за службу доставки, поддержку магазина, отдел возвратов или организаторов акции и составлять сообщения, согласующиеся со сведениями о прежних покупках человека. Дополнительные данные, такие как дата рождения и пол, также могут облегчить подбор ответов на контрольные вопросы или составление сообщений, которые выглядят персонализированными. Если вы используете одни и те же контактные данные на нескольких сайтах магазинов одежды, проведите необходимые проверки, даже если не можете точно вспомнить, через какой бренд этот инцидент мог вас затронуть.

Первый шаг, немедленно сменить пароль, использовавшийся в магазинах, которые могут быть связаны с сетью Fashion Nexus. Если этот же пароль использовался в других аккаунтах, для каждого из них также следует установить уникальный и надёжный пароль. Менеджер паролей упрощает создание разных длинных паролей для каждого сайта. В первую очередь нужно защитить электронную почту, поскольку ссылки для сброса паролей от аккаунтов интернет-магазинов обычно приходят именно туда. Если двухфакторная аутентификация для почтового аккаунта не включена, её следует включить немедленно.

Второй шаг, осторожно относиться к сообщениям о старых заказах, доставках и возвратах. Если вас просят перейти по ссылке, открыть вложение, повторно произвести оплату, подтвердить адрес или ввести сведения о личности, проверьте подлинность сообщения непосредственно на сайте соответствующего магазина, используя его официальный домен. Даже если звонящий знает подробности ваших прошлых заказов, само по себе это не доказывает его надёжность. Срочные требования под предлогом доставки, возврата или обращения службы поддержки следует проверять спокойно, не поддаваясь давлению.

Этот инцидент показывает, что старые аккаунты интернет-магазинов могут представлять риск ещё долгое время. Пользователям стоит регулярно закрывать аккаунты магазинов, которыми они больше не пользуются, сокращать объём сохранённых адресных и телефонных данных и использовать разные пароли для каждого магазина. Особенно в аккаунтах, созданных много лет назад, могут оставаться короткие или повторно используемые пароли, а также адреса электронной почты, к которым уже нет доступа. Если забыть о таких аккаунтах, связанные с утечкой риски можно заметить слишком поздно.

Со стороны компаний розничной торговли необходимы переход на современные стойкие алгоритмы хранения паролей, отказ от хранения ненужных персональных данных, возможность отслеживать клиентские записи в разрезе поставщиков услуг и прозрачное информирование после инцидентов. Устаревшие подходы, такие как MD5 и SHA-1, не обеспечивают достаточной защиты, даже если данные паролей хранятся в виде хешей. Если клиентские данные передаются между несколькими брендами и поставщиками технических услуг, необходимо чётко управлять границами ответственности и жизненным циклом записей.

Адрес электронной почты, указанный в этой записи, может соответствовать клиентскому аккаунту Fashion Nexus или одного из связанных с ней магазинов одежды. Если обнаружено совпадение, вам следует сменить старый пароль, обновить пароли во всех других аккаунтах, где он использовался, и проверить историю входов в электронную почту. Если вы заметили подозрительный вход, неожиданное уведомление о сбросе пароля, незнакомый заказ или изменение доставки, обратитесь в службу поддержки соответствующего сервиса.

Правильный подход к утечке данных Fashion Nexus, не считать её лишь проблемой старого интернет-магазина. Когда одновременно утекают адрес электронной почты, телефон, почтовый адрес, история покупок и данные паролей, риск может вновь проявиться спустя годы в виде фишинга, попыток входа в аккаунты и сопоставления данных о личности. Пользователям стоит выработать устойчивые привычки безопасности: использовать уникальные пароли для каждого аккаунта и надёжную двухфакторную аутентификацию, внимательно проверять ссылки и сокращать число ненужных старых аккаунтов.