Foodora Утечка данных

В этой записи подтверждена утечка адресов электронной почты, имен, номеров телефонов, физических адресов доставки и паролей. Пароли хранятся не в открытом виде, а в форме хешей bcrypt или MD5 с солью. Хотя bcrypt считается надежным методом хеширования паролей, хеши на основе MD5 менее устойчивы. Если пользователь выбрал короткий, предсказуемый пароль или пароль, который также используется в других аккаунтах, хранение в виде хеша не устраняет риск полностью.

Адрес доставки и номер телефона особенно важны в контексте доставки еды. Злоумышленники могут использовать эти сведения для подготовки поддельных уведомлений о заказах, изменениях доставки, купонах, возвратах, опросах об удовлетворенности клиентов или проверке аккаунта. Если имя, адрес и номер телефона человека указаны верно, сообщение может выглядеть убедительнее. Поэтому утечка данных Foodora создает не только риск для безопасности паролей, но и риск социальной инженерии с использованием физических адресов и номеров телефонов.

Подтвержденное число уникальных адресов электронной почты: 582 578. Датой инцидента указано 22 апреля 2016 года; он связан с сервисом доставки еды Foodora. Сообщалось, что набор данных охватывает несколько стран. Основные подтвержденные поля, имя, электронная почта, телефон, адрес доставки и хеши паролей. Число записей следует оценивать по уникальным адресам электронной почты; нельзя считать, что количество исходных записей или строк с заказами в точности совпадает с числом пользователей.

В этой записи номер платежной карты, код безопасности карты, банковский счет, данные официального документа, удостоверяющего личность, дата рождения и содержание личных сообщений не входят в число подтвержденных полей. Вместо того чтобы исходить из предположения об утечке данных карт, пользователям следует сосредоточиться на поддельных сообщениях, попытках несанкционированного входа в аккаунты и рисках повторного использования паролей, при которых могут использоваться сведения об адресе доставки и телефоне. Неподтвержденные поля не следует добавлять в описание, но и реальное влияние утекших данных нельзя недооценивать.

Наибольшему риску подвержены клиенты, которые используют пароль от аккаунта Foodora и в других аккаунтах. Если тот же пароль используется для электронной почты, покупок, социальных сетей, заказа еды или сервисов, не связанных с платежами, риск попыток доступа к аккаунтам возрастает. Люди, чьи адреса доставки и номера телефонов попали в утечку, могут стать целью мошенничества под видом доставки посылок или еды. Даже если они не помнят историю старых заказов, те же контактные данные могут оставаться актуальными годами.

Люди, которые пользовались Foodora в нескольких странах или делали заказы во время поездок, могут не помнить точно, к какой стране относился аккаунт, затронутый утечкой. В этом случае необходимо проверить, в каких сервисах доставки ранее использовались их адрес электронной почты и номер телефона. Если адрес изменился, риск может быть ниже; однако, если электронная почта и телефон по-прежнему действуют, злоумышленники могут повторно использовать эти сведения в новых мошеннических кампаниях.

Пароль от аккаунта Foodora следует немедленно сменить. Если тот же пароль используется в других аккаунтах, его нужно заменить уникальным паролем в каждом из них. Особое внимание следует уделить защите электронной почты, поскольку ссылки для сброса паролей от аккаунтов сервисов доставки еды и интернет-магазинов обычно приходят в почтовый ящик. Если двухфакторная аутентификация для электронной почты не включена, ее следует включить. Пароли, похожие на старый пароль Foodora, также нужно сменить.

Получив сообщение о доставке еды, купоне, возврате средств, проверке адреса или отмене заказа, проверьте информацию в официальном приложении или на сайте с официальным доменом, прежде чем переходить по какой-либо ссылке. Если звонящий знает ваше имя, адрес или обстоятельства предыдущего заказа, это не доказывает, что ему можно доверять. Просьбы сообщить пароль, одноразовый код или данные карты либо внести дополнительную оплату следует проверять через отдельный канал связи. Сосредоточьтесь на безопасности аккаунтов и поддельных сообщениях, которые создают реальные риски, без лишней паники.

Инцидент Foodora показывает, насколько важно использовать уникальные пароли для аккаунтов сервисов доставки еды и других повседневных услуг. Пользователям следует закрыть аккаунты доставки, которыми они больше не пользуются, сократить объем сохраненных сведений об адресах и телефонах и использовать разные пароли для каждого сервиса. Даже если старые адреса доставки теряют актуальность после переезда или смены работы, злоумышленники могут еще долго использовать электронную почту и номер телефона.

Поставщикам услуг следует хранить данные клиентов лишь столько времени, сколько необходимо для выполнения заказа, применять надежные алгоритмы хранения паролей и строго контролировать права доступа в системах, работающих в нескольких странах. Следует отдавать предпочтение надежным методам, таким как Bcrypt, и не использовать старые хеши на основе MD5. Сочетание адреса доставки, номера телефона и имени может существенно влиять на безопасность пользователя, даже если эти сведения не относятся к платежным данным.

Если ваш адрес электронной почты присутствует в этой записи, проверьте пароль, который вы используете для Foodora или связанных аккаунтов сервисов доставки еды. Установите уникальные пароли во всех аккаунтах, где используется такой же или похожий пароль. Защитите электронную почту двухфакторной аутентификацией и проверьте сохраненные номера телефонов и адреса в приложениях доставки еды. Неожиданные сообщения о заказах, купонах, возвратах средств или проверке адреса проверяйте напрямую через официальные каналы.

В утечке данных Foodora наличие сведений о платежных картах или банковских счетах не подтверждено; однако сочетание имени, электронной почты, телефона, адреса доставки и хешей паролей создает серьезный риск. Наиболее обоснованные действия, отказаться от повторного использования паролей, усилить защиту электронной почты, с осторожностью относиться к фишинговым сообщениям на тему доставки и удалить лишние персональные данные из старых аккаунтов для заказа еды. Эти меры снижают как непосредственные последствия для аккаунта Foodora, так и риски для других аккаунтов, в которых использовались те же пароли.