Утечка данных Fitmart

В этой утечке достоверно подтверждено наличие адресов электронной почты и паролей. В уведомлениях для клиентов также сообщалось, что могли быть затронуты имена, почтовые адреса, номера телефонов и даты рождения. Это важное различие: нельзя предполагать, что все эти поля присутствуют в каждой записи, однако риск для данных клиентского профиля и контактной информации следует воспринимать серьёзно. Адрес электронной почты позволяет злоумышленнику связаться с пользователем, пароль даёт возможность проводить атаки на аккаунты методом перебора, а адрес и номер телефона помогают сделать сценарии социальной инженерии более убедительными.

Пароль, наиболее критичное поле. Если пароль от аккаунта Fitmart используется также в других интернет-магазинах, электронной почте, социальных сетях, играх, на форумах или в рабочих аккаунтах, злоумышленники могут проверять ту же комбинацию на разных сервисах. История покупок спортивного питания или добавок также может использоваться в поддельных сообщениях об акциях на товары, продлении членства, оплате доставки или подтверждении возврата. Не стоит доверять входящему сообщению только потому, что оно содержит сведения о вас.

Число подтверждённых уникальных адресов электронной почты составляет 214 492, а сам инцидент относится к октябрю 2021 года. Отслеживаемый домен Fitmart, fitmart.de; инцидент связан с розничной торговлей товарами для фитнеса в Германии. Набор утекших данных, состав которого подтверждён наиболее достоверно, включает адреса электронной почты и сведения о паролях. Поскольку в уведомлениях для клиентов говорилось, что могли быть затронуты и другие персональные данные, в этой записи необходимо отдельно отметить риск для имён, адресов, номеров телефонов и дат рождения.

В этой записи к подтверждённым полям данных не относятся номера платёжных карт, коды безопасности карт, банковские счета, балансы по транзакциям, официальные документы, удостоверяющие личность, или содержимое личных сообщений. Отсутствие подтверждённых платёжных и банковских данных снижает риск, однако сочетание пароля, адреса электронной почты и контактной информации клиента всё равно требует особой осторожности. Вместо того чтобы исходить из предположения «данные моей карты утекли», пользователям следует сосредоточиться на основных рисках: повторном использовании паролей и обращениях от поддельных служб поддержки.

Наибольшему риску подвержены клиенты, которые используют пароль от аккаунта Fitmart и в других аккаунтах. Если одна и та же комбинация адреса электронной почты и пароля используется на разных торговых сайтах, в почтовых аккаунтах, профилях социальных сетей или приложениях для фитнеса, возрастает риск попыток входа с этими данными. Пользователям, которые повторно используют старые пароли с небольшими изменениями, также стоит быть осторожными: злоумышленники могут проверять похожие варианты паролей.

Для людей, чьи адреса, номера телефонов или даты рождения были затронуты, возрастает риск более персонализированных попыток мошенничества. Сообщения якобы о заказах спортивных добавок, задержках доставки, возвратах товаров, скидках на членство или акциях, связанных со здоровьем, могут выглядеть убедительнее. Покупки добавок и товаров для фитнеса могут также раскрывать личные предпочтения и особенности образа жизни. Поэтому пользователям следует с осторожностью относиться к адресной рекламе, опросам и звонкам якобы от службы поддержки, связанным с этой темой.

Пароль от аккаунта Fitmart следует немедленно сменить. Если тот же пароль используется в других аккаунтах, его необходимо заменить во всех этих аккаунтах. Самая эффективная мера, создавать для каждого сервиса уникальный, длинный и случайный пароль с помощью менеджера паролей. Особое внимание нужно уделить защите почтового аккаунта, поскольку ссылки для сброса паролей в интернет-магазинах обычно приходят на электронную почту. Если двухфакторная аутентификация в почтовом аккаунте не включена, её следует включить.

Прежде чем переходить по ссылкам в сообщениях от имени Fitmart, службы доставки, платёжного провайдера или службы поддержки, следует проверить эти сообщения через официальный домен. Сообщения с упоминанием адресов или заказов могут выглядеть правдоподобно. Однако просьбы сообщить пароль, одноразовый код, внести дополнительную оплату или предоставить документ, удостоверяющий личность, нужно проверять по отдельному каналу связи. Само по себе знание вашего имени или адреса не доказывает, что звонящему можно доверять.

Утечка Fitmart показывает, что повторное использование паролей в аккаунтах интернет-магазинов, один из самых серьёзных рисков. В долгосрочной перспективе пользователям следует использовать разные пароли для каждого магазина, закрывать неиспользуемые аккаунты и сокращать объём данных, таких как адреса, номера телефонов и даты рождения, которые хранятся в старых аккаунтах интернет-магазинов. Если при регистрации на торговых сайтах не предоставлять лишние данные и оставлять включёнными уведомления о безопасности аккаунта, последствия подобных инцидентов будут менее серьёзными.

Розничным компаниям необходимо защищать клиентские пароли с помощью стойких алгоритмов, не хранить лишние персональные данные и после инцидента ясно сообщать клиентам, какие данные были затронуты. В категориях товаров, связанных с личными предпочтениями, например товарах для фитнеса и добавках, клиентские данные нельзя рассматривать лишь как контактную информацию. В сочетании с контекстом покупок, адресом и контактными данными они могут повышать риск адресного мошенничества. Поэтому минимизация данных, надёжное хранение паролей и мониторинг доступа должны быть частью постоянной стратегии безопасности.

Если ваш адрес электронной почты присутствует в этой записи, проверьте пароль от аккаунта Fitmart и все другие аккаунты, где используется тот же пароль. Смены пароля только в Fitmart может быть недостаточно. Установите уникальные пароли в почтовых аккаунтах, интернет-магазинах, социальных сетях и спортивных приложениях, где вы используете такой же или похожий пароль. Если вы заметили предупреждение о подозрительном входе, неожиданное сообщение о сбросе пароля или действия с заказами, которых вы не совершали, проверьте настройки безопасности соответствующего аккаунта.

Хотя в утечке Fitmart наличие платёжных и банковских данных не подтверждено, риск для адресов электронной почты, паролей и контактной информации клиентов высок. Наиболее подходящие меры, отказаться от повторного использования паролей, защитить почтовый аккаунт двухфакторной аутентификацией, внимательно проверять сообщения о доставке и возвратах и сократить число старых аккаунтов в интернет-магазинах. Эти шаги уменьшают непосредственные последствия наличия данных в записи Fitmart и одновременно защищают другие аккаунты, в которых использовались те же пароли.