Fur Affinity Утечка данных

Основной риск в этой записи связан с тем, что адрес электронной почты и имя пользователя присутствуют вместе со сведениями о хешированном пароле. Хешированный пароль, это не пароль в открытом виде. Однако слабые, короткие или повторно используемые пароли со временем могут быть восстановлены либо использованы при атаках с подбором паролей. Использование того же пароля в других аккаунтах превращает этот давний инцидент в актуальный риск захвата аккаунтов. Если для электронной почты, социальных сетей, форумов и игровых аккаунтов используется один и тот же шаблон пароля, злоумышленники могут комбинировать эти сведения в различных попытках входа.

Раскрытие имени пользователя вместе с адресом электронной почты важно и с точки зрения социальной инженерии. Злоумышленники могут использовать псевдоним человека и указанный при регистрации адрес электронной почты, чтобы создавать более убедительные сообщения о сбросе пароля, поддельные уведомления от сообщества или целевые фишинговые сообщения. Ориентация платформы на узкое сообщество может повышать риски для конфиденциальности некоторых пользователей: связь псевдонима с реальным адресом электронной почты может привести к раскрытию онлайн-идентичности человека.

Число подтверждённых записей следует указывать как 1 270 564. Это количество записей в наборе данных; нельзя с уверенностью считать, что каждая запись соответствует одному отдельному реальному человеку. На интерпретацию этого числа могут влиять несколько полей электронной почты в некоторых аккаунтах, отдельные записи со старыми и новыми сведениями или дубликаты аккаунтов. Поэтому при описании масштаба утечки пользователю следует чётко указывать количество записей и не делать необоснованно уверенных выводов о числе людей.

Подтверждённые поля данных для этого инцидента, адреса электронной почты, имена пользователей и пароли. Пароли следует рассматривать как хешированные; без подтверждённых сведений об алгоритме не следует добавлять названия MD5, SHA-1 или любого другого метода. В эту запись не следует включать такие типы данных, как сведения о кредитных картах, физические адреса, номера телефонов, даты рождения, IP-адреса, личные сообщения, файлы с художественными работами, медиаконтент или документы, удостоверяющие личность. Это ограничение позволяет правильно оценить риск для пользователя и не преувеличивать масштаб инцидента.

Наибольшему риску подвержены те, кто использует на других платформах тот же адрес электронной почты, имя пользователя или пароль, что и в аккаунте Fur Affinity. Один и тот же псевдоним в других социальных аккаунтах может позволить связать между собой онлайн-идентичности в разных сообществах. Это особенно важно для пользователей, которые хотят сохранять своё личное пространство обособленным. Раскрытый адрес электронной почты также облегчает адресную рассылку уведомлений и предупреждений о безопасности, связанных с аккаунтом.

Риск распространяется и на аккаунты, которыми давно не пользовались. Даже если старый аккаунт забыт, тот же пароль может по-прежнему использоваться в других сервисах. Кроме того, псевдонимы из старых аккаунтов в сообществах можно использовать для поиска, сопоставления профилей или фишинговых атак даже спустя годы. Поэтому проверить повторное использование паролей и безопасность электронной почты следует не только активным пользователям, но и тем, кто создавал аккаунты в прошлом и больше не пользуется платформой.

Пользователю, чей адрес электронной почты присутствует в этой записи, прежде всего следует убедиться, что старый пароль от аккаунта Fur Affinity больше не используется ни в одном другом аккаунте. Если такой же или похожий пароль использовался где-либо ещё, его следует немедленно заменить в этих аккаунтах на уникальный длинный пароль. Менеджер паролей упрощает создание отдельного пароля для каждого сервиса и помогает полностью отказаться от старых шаблонов. Незначительная замена символов, добавление года или сохранение той же основы не обеспечивают достаточной защиты.

Для важных аккаунтов, особенно электронной почты, следует включить многофакторную аутентификацию. Если в истории активности аккаунта обнаружено незнакомое устройство, неожиданное уведомление о входе, запрос на сброс пароля или подозрительное письмо о безопасности, следует завершить все сеансы и обновить данные для восстановления доступа. Если адрес электронной почты, связанный с аккаунтом в сообществе, больше не используется, по возможности следует обновить сведения об аккаунте или сократить объём необязательных персональных данных в профиле. Прежде чем переходить по ссылкам в подозрительных сообщениях, необходимо внимательно проверить адрес отправителя и страницу входа.

Этот инцидент показывает, что аккаунты на платформах для общения и творчества также требуют высокого уровня безопасности. Пользователям следует избегать повторного использования паролей в аккаунтах, связанных с хобби, форумами, играми, социальными сетями и электронной почтой. Утечка из аккаунта, который кажется несущественным, может затронуть более важные аккаунты, если в другом сервисе действуют те же адрес электронной почты и пароль. Поэтому следует регулярно проверять ранее созданные аккаунты на разных платформах, закрывать неиспользуемые аккаунты либо защищать их отдельно с помощью уникального пароля и многофакторной аутентификации.

Со стороны платформы базовыми требованиями являются безопасное хранение паролей, регулярное тестирование безопасности, мониторинг журналов доступа и процедуры уведомления об инцидентах. В уведомлениях пользователю следует чётко указывать, какие поля затронуты, для каких полей факт утечки не подтверждён и какие действия необходимо предпринять. Кроме того, в сервисах, где пользователи формируют свою идентичность в сообществе, последствия для конфиденциальности могут быть серьёзнее, чем при обычной утечке адресов электронной почты. Поэтому раскрытие имени пользователя вместе с адресом электронной почты требует отдельной оценки.

При проверке записи об утечке Fur Affinity результат показывает, присутствует ли введённый адрес электронной почты в этом наборе данных. При положительном результате адрес электронной почты, имя пользователя и сведения о хешированном пароле следует считать подверженными риску. Отрицательный результат означает, что в этом конкретном наборе данных совпадений не найдено; это не означает, что сведения о человеке отсутствуют в других утечках. Поэтому результат следует трактовать только в контексте данного инцидента.

Пользователю следует полностью отказаться от старого пароля, заменить его везде, где он использовался повторно, включить многофакторную защиту аккаунта электронной почты и проверить другие аккаунты, созданные с тем же именем пользователя. Связь между псевдонимом и адресом электронной почты в аккаунтах сообществ может оставаться значимой в течение долгого времени. Не следует игнорировать запись только потому, что она старая: если тот же пароль, адрес электронной почты или псевдоним по-прежнему связывает используемые сегодня аккаунты, меры безопасности необходимо обновить немедленно.