FreshMenu Утечка данных

В этой записи подтверждено наличие сведений об устройствах, адресов электронной почты, имён, номеров телефонов, физических адресов и истории покупок. Сведения об устройствах могут дать дополнительную информацию о пользовательском сеансе или технических условиях его работы. Электронная почта и телефон позволяют связаться с пользователем напрямую. В свою очередь, физический адрес доставки и история заказов могут раскрывать чувствительные сведения о том, где человек живёт или заказывает еду, о его повседневных привычках и предпочтениях при использовании сервиса.

Поскольку наличие поля пароля в утечке не подтверждено, пользователям следует прежде всего опасаться мошенничества с поддельными сообщениями и доставкой, а не взлома паролей. Если в сообщении верно указаны ваше имя, номер телефона, адрес или сведения о предыдущем заказе, само по себе это не доказывает его достоверность. Следует внимательно проверять сообщения со ссылками под предлогом отмены доставки, дополнительной оплаты, получения акционного купона, подтверждения адреса или возврата.

Подтверждено, что утечка затронула 110 355 уникальных клиентов. Датой инцидента указано 1 июля 2016 года; он связан с доменным именем freshmenu.com. FreshMenu, индийский сервис доставки еды, поэтому ранее указанные в базе данных отрасль «Государственное управление» и страна «Соединённые Штаты» неверны. Запись следует рассматривать в контексте доставки еды и онлайн-заказов.

В этой записи среди подтверждённых полей данных нет пароля, хеша пароля, номера платёжной карты, кода безопасности карты, банковского счёта, официального документа, удостоверяющего личность, или содержимого личных сообщений. Пользователям не следует действовать так, будто данные их карты или пароль утекли. Однако когда адрес доставки, телефон и история заказов доступны вместе, риск социальной инженерии реален и сохраняется постоянно. При описании риска необходимо учитывать это ограничение.

Наибольшему риску подвержены клиенты, которые заказывали еду через FreshMenu и до сих пор пользуются тем же номером телефона или адресом электронной почты. Даже если адрес доставки изменился, электронная почта и телефон могут оставаться действующими долгое время. Если то же сочетание имени, телефона и адреса использовалось в других сервисах доставки еды, покупок или курьерских услуг, злоумышленники могут подготовить более убедительные сообщения.

Для пользователей, чья история заказов попала в утечку, риск носит более персонализированный характер. Поддельные сообщения о скидках, любимых ресторанах, старых адресах доставки, ошибках оплаты или акциях для участников сервиса могут выглядеть настоящими. Людям, заказывающим доставку на рабочий или домашний адрес, также следует быть осторожными: адресные данные могут использоваться во вред не только в интернете, но и при телефонных звонках или под предлогом доставки по указанному адресу.

Если у вас есть аккаунт FreshMenu, проверьте его безопасность и указанные в нём контактные данные. Поскольку наличие пароля в этой записи не подтверждено, немедленно менять пароли во всех аккаунтах не требуется. Однако если тот же адрес электронной почты встречался в других утечках, содержащих пароли, для соответствующих аккаунтов следует установить уникальные пароли. Включите двухфакторную аутентификацию для электронной почты и следите за уведомлениями безопасности.

Прежде чем переходить по ссылке в сообщении о доставке еды, купонах, возврате средств, подтверждении адреса или отмене заказа, проверьте информацию через официальное приложение или на сайте с официальным доменом. То, что звонящий знает ваше имя или адрес, не доказывает его надёжность. Если у вас просят дополнительную оплату, одноразовый код, данные карты или аккаунта, не выполняйте просьбу и проверьте её через официальный канал службы поддержки.

Инцидент с FreshMenu подчёркивает важность сокращения объёма лишних персональных данных в аккаунтах сервисов доставки еды и повседневных услуг. Пользователям стоит закрыть аккаунты в сервисах доставки, которыми они больше не пользуются, поддерживать актуальность указанных адресов и номеров телефонов и использовать разные надёжные пароли для сервисов заказа. Поскольку адреса доставки и номера телефонов могут долго не меняться, старые утечки могут использоваться для целевых сообщений даже спустя годы.

Поставщикам услуг следует хранить данные клиентов лишь столько времени, сколько необходимо для выполнения заказа, а такие поля, как история заказов и адрес доставки, защищать строгим контролем доступа. Понятное и своевременное уведомление клиентов при обнаружении инцидента, часть культуры безопасности. Даже если среди данных нет паролей или сведений о картах, адрес, номер телефона и история заказов напрямую затрагивают конфиденциальность клиентов.

Если ваш адрес электронной почты присутствует в этой записи, проверьте контактные данные, которые вы используете в FreshMenu или аналогичных сервисах доставки еды. Проверяйте неожиданные заказы, возвраты средств, купоны или сообщения о подтверждении адреса через официальные каналы, а не по ссылке из сообщения. Если тот же адрес электронной почты встречается в утечках, содержащих пароли, смените пароли в соответствующих аккаунтах и включите двухфакторную аутентификацию.

В утечке данных FreshMenu подтверждено наличие сведений об устройствах, электронной почты, имён, телефонов, адресов доставки и истории заказов. Наличие паролей и данных платёжных карт не подтверждено, однако информация о доставке и заказах даёт достаточно материала для социальной инженерии. Наиболее обоснованные меры, осторожно относиться к поддельным сообщениям о доставке и купонах, проверять информацию через официальные каналы, сократить число старых аккаунтов в сервисах доставки и учитывать, что тот же адрес электронной почты может связать эти данные с другими утечками.