Утечка данных GeniusU

К подтвержденным типам данных относятся адреса электронной почты, имена, IP-адреса, географическое местоположение, сведения о поле, профили в социальных сетях и пароли. Адрес электронной почты, основной идентификатор, по которому злоумышленник может искать пользователя в разных сервисах. Имя и ссылки на профили могут позволить сопоставить данные с публичной деятельностью человека в профессиональном или предпринимательском сообществе. IP-адрес и сведения о местоположении могут дать дополнительные подсказки об обстоятельствах доступа пользователя к сервису. Сведения о поле сами по себе недостаточны для компрометации аккаунта, но могут использоваться для персонализации сообщений.

Поле пароля следует рассматривать как хеш, защищенный с помощью bcrypt, а не как пароль в открытом виде. Такой способ хранения надежнее хранения в открытом виде, однако при слабых или повторно используемых паролях риски сохраняются. Злоумышленники могут пытаться использовать в других сервисах сочетания адресов электронной почты и паролей, полученных на основе хешей. Ссылки на профили в социальных сетях и имена могут сделать более убедительными поддельные приглашения в программы наставничества, уведомления о мероприятиях, сообщения о доступе к курсам, инвестиционных сообществах или безопасности аккаунтов. Поэтому риск не ограничивается одним аккаунтом на платформе.

Датой утечки указано 2 октября 2020 года, а датой включения в крупные каталоги утечек: 8 января 2021 года. Подтвержденное число аккаунтов, доступных для пользовательского поиска, составляет 1 301 460. В решении регулятора говорится, что были затронуты персональные данные примерно 1,26 миллиона пользователей; в перечень затронутых данных включены имя, адрес электронной почты, местоположение и IP-адрес последнего входа. В сообщении компании указаны имя, адрес электронной почты, хеш пароля и местоположение. Каталоги утечек дополнительно перечисляют сведения о поле и ссылки на профили в социальных сетях.

Важно четко обозначить, какие данные не входят в подтвержденный объем утечки. Для этого инцидента не подтверждена утечка сведений о кредитных картах, банковских счетах, здоровье, номеров официальных удостоверений личности, содержимого личных сообщений или платежных операций. В отношении паролей корректно говорить не о паролях в открытом виде, а о хешах паролей. В заслуживающем доверия решении регулятора причина инцидента связывается с компрометацией аккаунта разработчика и обнаружением учетных данных для доступа к базе данных в среде разработки. В публичном тексте для пользователей основной риск следует оценивать исходя из подтвержденных типов данных и мер предосторожности, которые стоит принять пользователю.

В первую группу риска входят предприниматели, преподаватели, наставники, студенты, участники сообществ и люди, которые следят за материалами о профессиональном развитии, если они создали аккаунт GeniusU. Для тех, кто использует платформу с рабочим адресом электронной почты, выше риск адресных сообщений: адрес и имя могут позволить сопоставить данные с их профессиональным профилем. Пользователей, указавших ссылку на профиль в социальной сети, можно связать с аккаунтами в других сетях. Если известны местоположение и IP-адрес человека, сообщения легче адаптировать к местному или региональному контексту.

Людям, использующим один и тот же пароль в разных образовательных сервисах, рабочих сетях, электронной почте или социальных сетях, следует проявлять повышенную осторожность. В предпринимательских и образовательных сообществах пользователи часто одновременно публикуют свой профиль, сведения об участии в мероприятиях и ссылки на социальные сети. Эти данные могут использоваться в попытках социальной инженерии: например, в поддельных приглашениях на мероприятия, сообщениях от инвесторов, предложениях встреч с наставниками, уведомлениях о сертификатах или доступе к курсам. Риск сохраняется и для людей, которые больше не пользуются старыми аккаунтами: адрес электронной почты, имя и ссылки на профили могут оставаться актуальными долгое время.

Если вы обнаружили, что утечка затронула вас, прежде всего проверьте, использовали ли вы пароль от GeniusU в других аккаунтах. Если такой же или похожий пароль использовался где-либо еще, установите для каждого аккаунта уникальный, длинный и надежный пароль. В первую очередь уделите внимание электронной почте, менеджерам паролей, социальным сетям, профессиональным сетям и образовательным платформам. Если у вас есть доступ к аккаунту GeniusU, проверьте сеансы, подключенные профили в социальных сетях, видимость профиля, поле местоположения и настройки электронной почты.

Не переходите напрямую по ссылкам в сообщениях о доступе к курсам, приглашениях в программы наставничества, билетах на мероприятия, сертификатах, инвестиционных сообществах, сбросе пароля или безопасности аккаунтов. Если вам нужно открыть сервис, введите адрес в браузере вручную или воспользуйтесь знакомой официальной страницей входа. Не передавайте коды подтверждения и пароли по запросам, полученным по телефону, электронной почте или через социальные сети. Если вы используете рабочую почту, сообщите внутренней команде безопасности об обнаруженном совпадении и убедитесь, что этот же пароль не используется в рабочих инструментах.

В долгосрочной перспективе основой защиты служат уникальные пароли для аккаунтов в образовательных сервисах, сообществах и рабочих системах. Менеджер паролей помогает находить старые и повторно используемые пароли. Делитесь ссылками на профили в социальных сетях только при необходимости и регулярно проверяйте общедоступные поля профиля. Отдельный адрес электронной почты для аккаунтов в профессиональных сообществах затрудняет связывание личной и рабочей информации в рамках одной утечки. Если поле местоположения необязательно, указывайте в нем минимум сведений.

При обучении сотрудников защите от фишинга внешние образовательные платформы и аккаунты в деловых сетях следует рассматривать как отдельный сценарий. Для аккаунтов разработчиков, репозиториев кода и доступа к базам данных необходимо сделать обязательными многофакторную аутентификацию, инструменты управления секретами и регулярные проверки доступа. На личном уровне постоянно снижать риск помогают включенные уведомления об активности аккаунтов, ограничение связей с социальными сетями, проверка приглашений на незнакомые мероприятия и закрытие старых аккаунтов в сообществах.

Если в результатах поиска появилась утечка GeniusU, ваш адрес электронной почты мог входить в подтвержденный набор данных из 1 301 460 аккаунтов. Такой результат не означает, что в утечку попали данные вашей платежной карты или банковского счета, сведения о вашем здоровье либо номер официального удостоверения личности. Подтвержденные поля, адрес электронной почты, имя, IP-адрес, местоположение, сведения о поле, ссылки на профили в социальных сетях и хеш пароля. Прежде всего проверьте, использовали ли вы пароль от GeniusU в других аккаунтах.

Если пароль используется повторно, последовательно смените его в соответствующих аккаунтах и включите дополнительную проверку везде, где это возможно. Сократите количество ссылок на профили, сведений о местоположении и общедоступной личной информации, если они не нужны. Не открывайте подозрительные ссылки в сообщениях о мероприятиях, курсах, наставниках, сертификатах или безопасности аккаунтов. Заходите в сервис по известному адресу и проверьте настройки безопасности электронной почты. Правильный подход к этому инциденту, снижать долгосрочные риски для безопасности аккаунтов, связанные с адресом электронной почты, профилем, местоположением, IP-адресом и хешем пароля, а не усиливать неподтвержденные заявления о финансовых последствиях.