Fridae Утечка данных

Основные типы данных, наличие которых в утечке Fridae подтверждено, адреса электронной почты, пароли, имена пользователей и сведения об активности на сайте. Адрес электронной почты может быть связан с основным почтовым аккаунтом человека или другими его профилями в интернете. Если одно и то же имя пользователя используется на разных платформах, можно установить связь между профилями одного человека в социальных сетях, на форумах или сервисах знакомств. Сведения об активности на сайте дают дополнительную информацию о взаимодействии пользователя с платформой.

Хранение паролей в открытом виде, наиболее критичная составляющая этого инцидента. Пароль в открытом виде позволяет злоумышленнику попробовать те же данные на других сервисах без необходимости взламывать пароль. Даже если старый пароль использовался много лет назад, риск сохраняется, когда пользователь продолжает создавать пароли по похожим шаблонам. Повторное использование пароля может привести к тому, что последствия одной утечки распространятся на почту, социальные сети, мессенджеры или рабочие аккаунты.

В контексте сообщества LGBTQ+ риск не ограничивается доступом к аккаунту. В некоторых странах или социальных средах связь с таким сообществом может угрожать конфиденциальности, сохранению работы или отношениям в семье. Поэтому данные Fridae следует считать чувствительными, даже если они включают лишь небольшое число категорий.

Подтверждённая дата утечки Fridae (2 мая 2014 года, дата внесения записи в базу данных) 6 мая 2014 года, а число затронутых уникальных аккаунтов: 35 368. Инцидент проходит независимую проверку, и его статус как затрагивающего чувствительные данные должен сохраняться. Такая классификация означает, что связь аккаунта с этой платформой не должна отображаться так, чтобы другие люди могли найти её через поиск.

Охват ограничен доменом Fridae и подтверждёнными категориями данных. Наличие телефонных номеров, физических адресов, данных платёжных карт, банковских счетов, официальных идентификационных номеров, паспортов, личных сообщений или фотографий профилей в рамках этого инцидента не подтверждено. Описание, показываемое пользователю, должно объяснять риск только на основании адресов электронной почты, паролей, имён пользователей и сведений об активности на сайте.

Во вторичных источниках может указываться меньшее число пострадавших людей; тем не менее за основу числа уникальных аккаунтов следует брать значение 35 368. Расхождения между источниками могут быть связаны с числом строк в исходных данных, периодом проверки или повторяющимися данными. При оценке риска, показываемого пользователю, следует учитывать как число подтверждённых аккаунтов, так и подтверждённые категории данных.

К группе наибольшего риска относятся люди, у которых был аккаунт Fridae до 2014 года или в то время и которые использовали тот же пароль на других сервисах. Если один и тот же адрес электронной почты использовался в социальных сетях, почтовых аккаунтах, сервисах знакомств или рабочих аккаунтах, злоумышленники могут попытаться сопоставить эти аккаунты. Если имя пользователя также повторяется, риск установления связи между профилями одного человека возрастает.

Риск для конфиденциальности выше у людей, которым может навредить раскрытие их принадлежности к сообществу LGBTQ+. Пользователям, испытывающим давление со стороны работодателей, семьи, школы, государственных учреждений или местного окружения, следует настороженно относиться к сообщениям с шантажом и угрозами унижения. Злоумышленники могут использовать старые пароли или имена пользователей, чтобы сделать угрозу более убедительной.

Для пользователей, чьи данные содержат сведения об активности на сайте, важен и риск, связанный с социальным контекстом. Информацию о том, насколько активен аккаунт, в каких разделах он используется или под каким именем пользователя отображается, можно сопоставить с другими наборами данных. Поэтому пользователю следует оценить не только риски, связанные с паролем, но и видимые сведения профиля и историю имён пользователя.

Пострадавшему пользователю прежде всего следует полностью отказаться от пароля, который использовался для аккаунта Fridae. Если тот же или похожий пароль по-прежнему действует в других аккаунтах, для каждого из них нужно выбрать новый длинный и уникальный пароль. В первую очередь следует защитить основной почтовый аккаунт, социальные сети, мессенджеры и сервисы, используемые для сброса паролей. В аккаунтах, где это возможно, следует включить двухфакторную аутентификацию.

К поступающим по электронной почте сообщениям с угрозами, связанными с Fridae или сообществом LGBTQ+, следует относиться с осторожностью. Наличие в сообщении старого пароля, имени пользователя или названия платформы не означает, что нужно платить. Пользователю следует входить в аккаунты напрямую через доверенный сеанс браузера, а не переходить по ссылкам из сообщений, а также проверять историю сеансов и адреса электронной почты для восстановления доступа.

Если то же имя пользователя используется на других платформах, следует ограничить его видимость. Неподтверждённые сведения о числе пострадавших, полях данных и заявления злоумышленников не считаются частью публично описываемого охвата инцидента. Использование менеджера паролей помогает быстро сократить повторное использование паролей.

Инцидент Fridae показывает долгосрочный риск использования основных идентифицирующих сведений в аккаунтах сообществ, участие в которых связано с рисками для конфиденциальности. На подобных сервисах предпочтительно использовать отдельный псевдоним адреса электронной почты, уникальный пароль и ограниченный объём сведений в профиле. Имя пользователя должно отличаться от имён в других социальных профилях. Настоящее имя или рабочий адрес электронной почты следует использовать только при необходимости.

Стратегия защиты конфиденциальности не должна ограничиваться безопасностью аккаунтов. Пользователям следует регулярно проверять, под какими именами и с какими идентифицирующими сведениями они представлены на разных платформах, закрывать старые аккаунты и удалять ненужные сведения из профилей. Неподтверждённые сведения о числе пострадавших, полях данных и заявления злоумышленников не считаются частью публично описываемого охвата инцидента.

Для корпоративных команд безопасности такие инциденты указывают на то, что сотрудники могут получать целевые фишинговые сообщения или сообщения, направленные на принуждение, с использованием сведений об их личной жизни. На обучении следует чётко объяснять, как реагировать на угрозы, связанные с принадлежностью к таким сообществам, какие защищённые каналы использовать для сообщения об угрозах и как устроены процессы поддержки, не стигматизируя сотрудника.

Пользователю, который хочет выяснить, затронула ли Fridae утечка данных, следует проверить соответствующий адрес электронной почты на доверенном экране «Безопасность аккаунтов». Положительный результат означает, что адрес электронной почты входит в чувствительный и проверенный набор данных, связанный с Fridae. Это не обязательно означает, что у пользователя есть действующий аккаунт сегодня: риск может быть связан со сведениями об аккаунте за 2014 год или более ранний период.

Пользователям, получившим положительный результат, следует сменить пароли, защитить основной почтовый аккаунт, включить двухфакторную аутентификацию и сократить использование одинаковых имён пользователя на разных платформах. Также следует проверить старые адреса электронной почты, их псевдонимы и другие имена пользователей. Отрицательный результат означает лишь, что для проверяемого адреса электронной почты совпадение не найдено; другие адреса, использовавшиеся ранее, всё равно следует проверить.

Хотя утечка Fridae кажется относительно небольшой по масштабу, она представляет собой значимый инцидент для конфиденциальности из-за чувствительного контекста сообщества. Пароли в открытом виде повышают риск для безопасности аккаунтов, а имена пользователей и сведения об активности на сайте, риск сопоставления профилей одного человека. Наиболее целесообразные действия, прекратить повторное использование паролей, отделить чувствительные аккаунты от основной сетевой личности и выполнить меры защиты, не платя злоумышленникам и не отвечая на сообщения с угрозами.