Утечка данных Gab

Неподтверждённые сведения о числе людей и полях данных, а также неподтверждённые заявления злоумышленников не включаются в публичное описание масштабов инцидента. Имя и аватар также упрощают распознавание одного и того же профиля. Даже если этих полей самих по себе недостаточно для финансового мошенничества, они дают важный контекст для целевого фишинга, поддельных уведомлений о безопасности, нанесения ущерба репутации и попыток захвата аккаунтов. Имена пользователей в социальных сетях часто остаются неизменными долгое время, поэтому даже старая утечка данных может быть полезна для сопоставления с текущими профилями.

Хранение паролей в виде хешей bcrypt обеспечивает более надёжную защиту, чем хранение в открытом виде. Тем не менее слабые, короткие или повторно используемые пароли по-прежнему создают риск. Если тот же пароль используется в других аккаунтах, злоумышленники могут использовать данные старой утечки для новых попыток входа. Содержание сообщений не следует считать подтверждённым для каждого пользователя, однако пользователям, для которых найдено совпадение, не стоит игнорировать риск, связанный с конфиденциальной перепиской.

Для этой записи число подтверждённых уникальных совпадений по адресу электронной почты должно оставаться равным 66 521. Сведения о том, что обширный архив данных содержит миллионы аккаунтов и общедоступные материалы, относятся к общему контексту; это количество нельзя напрямую представлять как число людей, которых можно найти по адресу электронной почты. Число записей означает количество уникальных совпадений с адресом электронной почты. У одного человека может быть несколько аккаунтов, а в некоторых аккаунтах поля электронной почты и пароля могут отсутствовать вовсе.

Подтверждённые категории данных, аватары, адреса электронной почты, имена, пароли, личные сообщения и имена пользователей. В этот список не следует добавлять номера телефонов, физические адреса, платёжные карты, номера официальных документов, удостоверяющих личность, даты рождения или банковские данные. Наличие поля личных сообщений также следует понимать как указание на то, что в архиве есть лишь ограниченное число записей переписки; нельзя предполагать, что личные сообщения утекли для каждой записи. Такое ограничение позволяет ясно показать пользователю как реальный риск, так и то, что остаётся неопределённым.

Наибольшему риску подвержены пользователи, которые используют адрес электронной почты, имя пользователя или пароль от своего аккаунта Gab также в других социальных сетях, на форумах, в почтовых сервисах или в аккаунтах для публикации материалов. Одинаковое имя пользователя на разных платформах упрощает установление связей между профилями. Рассматривая в совокупности имя, аватар и имя пользователя в аккаунте социальной сети, злоумышленники могут создавать более убедительные поддельные уведомления и предпринимать попытки сброса пароля.

Риску также подвержены пользователи, которые избегают публичности из-за характера личной переписки или материалов в социальных сетях. Даже если аккаунт старый, неактивный или заброшенный, ранее использовавшиеся имя пользователя и адрес электронной почты всё ещё могут быть использованы для установления связей с другими аккаунтами. Людям, для которых публичность особенно чувствительна в силу работы, семейных обстоятельств, положения в сообществе или внимания СМИ, следует учитывать не только безопасность паролей, но и риск сопоставления профилей и поддельных сообщений.

Пользователям, чьи адреса электронной почты присутствовали в этой утечке, следует убедиться, что пароль от их аккаунта Gab не действует ни в одном другом аккаунте. Если в разных аккаунтах использовался один и тот же или похожий пароль, для каждого из таких аккаунтов следует установить длинный, уникальный пароль, который трудно угадать. Менеджер паролей делает этот процесс надёжнее. При смене пароля недостаточно просто добавить в конце год, символ или строчную букву.

В почтовых аккаунтах и аккаунтах социальных сетей следует включить двухфакторную аутентификацию. Если в истории активности аккаунта есть неизвестные устройства, неожиданные сеансы, уведомления о сбросе пароля или подозрительные сообщения о безопасности, следует завершить сеансы и проверить настройки восстановления доступа с помощью электронной почты и телефона. Если пользователи сталкиваются с шантажом, угрозами или вводящими в заблуждение сообщениями, связанными с содержанием личной переписки или информацией профиля, им следует самостоятельно проверить подлинность сообщения, прежде чем переходить по каким-либо ссылкам.

Долгосрочная стратегия безопасности аккаунтов в социальных сетях не должна ограничиваться сменой паролей. Если имена пользователей, изображения профиля и адреса электронной почты остаются одинаковыми на разных платформах, аккаунты легко сопоставить. Пользователям, которым важна конфиденциальность, стоит использовать отдельные адреса электронной почты и разные принципы формирования имён пользователей в разных сервисах. Неиспользуемые аккаунты следует закрыть, а в аккаунтах, которые закрыть нельзя, свести к минимуму личные сведения в профиле и использовать уникальные пароли.

Когда в результате одного инцидента на стороне поставщика сервиса раскрываются личные сообщения, сведения профиля и хеши паролей, реагировать на инцидент следует особенно тщательно. Безопасное хранение паролей, контроль доступа, сегментация данных, регулярное тестирование безопасности и процедуры уведомления пользователей, базовые требования. В уведомлениях число подтверждённых записей, содержащих адрес электронной почты или пароль, следует объяснять отдельно от общего объёма архива. Это различие позволяет пользователям принимать верные решения без паники и без недооценки риска.

При проверке записей на нарушения правил результат показывает, присутствует ли введённый адрес электронной почты в этом подтверждённом наборе данных. Если результат положительный, следует оценить в совокупности адрес электронной почты, имя пользователя, имя, аватар, хеш пароля и риск, связанный с ограниченным объёмом личной переписки. Если результат отрицательный, это означает, что в данном конкретном наборе совпадений по электронной почте запись не найдена; это не доказывает, что человек не фигурирует под другим именем пользователя в более обширном архиве или в другом инциденте.

Правильные действия, полностью отказаться от старых паролей, заменить все повторно используемые пароли, включить многофакторную защиту в почтовых аккаунтах и социальных сетях, пересмотреть повторяющиеся имена пользователей, которые могут позволить сопоставить профили, и осторожно относиться к подозрительным сообщениям. Даже старая утечка может создавать актуальный риск, когда идентификационные сведения из социальной сети, адрес электронной почты и данные пароля оказываются вместе.