Утечка данных Glofox

Подтвержденные категории данных, даты рождения, адреса электронной почты, пол, имена, пароли и номера телефонов. Адреса электронной почты и имена могут использоваться для поддельных уведомлений о входе, сообщений о продлении абонемента, уведомлений о бронировании или ловушек под видом сброса пароля. Номера телефонов открывают дополнительный канал для мошенничества через SMS и звонков от поддельной службы поддержки. Даты рождения и сведения о поле помогают злоумышленнику придать сообщению более личный характер. Такое сочетание создает более высокий риск социальной инженерии, чем утечка одних лишь адресов электронной почты.

Поле пароля требует особого внимания. По современным стандартам безопасности хеши MD5 без соли считаются слабым способом защиты: слабые пароли можно быстро подобрать или сопоставить с данными предыдущих утечек. Если пользователь использовал тот же пароль для электронной почты, аккаунтов спортивных залов, социальных сетей или других онлайн-сервисов, риск выходит за пределы аккаунта Glofox. Даже если наличие пароля в открытом виде не подтверждено, из-за слабости этого типа хеширования смену пароля и отказ от его повторного использования следует считать срочными мерами.

Подтвержденная дата инцидента основана на архивных данных от 27 марта 2020 года, а дата включения в список указана как 10 января 2021 года. Поэтому неправильно трактовать результат Glofox в поиске по пользователю как новую утечку, произошедшую в 2025 году. Более поздние даты могут быть связаны с повторным появлением данных в других списках, их проверкой или добавлением в системы; сам инцидент относится к марту 2020 года.

Не подтверждено, что раскрыты финансовые сведения, данные кредитных карт и способов оплаты. В уведомлениях подчеркивается отсутствие паролей в открытом виде, поэтому в описании инцидента пароли не представлены как утекшие в открытом виде. При этом слабая защита хешей паролей не отменяет необходимости действий со стороны пользователей. В отчете следует избегать преувеличенных утверждений и ясно объяснять совокупный риск, связанный с номерами телефонов, датами рождения и хешами паролей.

Наибольшему риску подвержены пользователи, у которых есть абонемент в спортивный зал или фитнес-студию через Glofox и которые используют тот же пароль в других аккаунтах. В их случае злоумышленник может предпринимать попытки входа в другие сервисы, используя адрес электронной почты и хеш пароля. Во вторую группу входят владельцы абонементов, указавшие номер телефона и дату рождения. Эти сведения могут использоваться в сообщениях, которые выглядят персональными: поддельных сообщениях о продлении абонемента, бронировании занятий, оплате или безопасности аккаунтов.

Третья группа риска, люди, использующие один адрес электронной почты для работы, спортивного зала, сервисов, связанных со здоровьем, социальных сетей и финансовых аккаунтов. Сам по себе абонемент в спортивный зал не следует прямо относить к данным о здоровье. Однако в сочетании со сведениями о повседневном распорядке, образе жизни и контактными данными в контексте спортивного зала он повышает риск для конфиденциальности. Поэтому пользователям, увидевшим совпадение с Glofox, следует проверить не только аккаунт спортивного зала, но и все важные аккаунты с теми же учетными данными.

Первый шаг, заменить пароль аккаунта Glofox или связанного с ним спортивного зала на уникальный и надежный. Если тот же или похожий пароль использовался в других аккаунтах, для каждого из них следует выбрать новый отдельный пароль. Необходимо также защитить почтовый аккаунт, поскольку ссылки для сброса пароля часто приходят по электронной почте. Для важных аккаунтов следует включить многофакторную аутентификацию и по возможности отдать предпочтение приложению для одноразовых кодов или ключу безопасности.

Не следует переходить в Glofox напрямую по ссылкам из электронных писем и SMS о спортивных залах или бронированиях. Получив уведомление о продлении абонемента, бронировании занятия, проблемах с оплатой или безопасности аккаунта, пользователь должен вручную ввести адрес сайта и проверить информацию. Во время телефонных разговоров нельзя сообщать пароли, коды подтверждения или платежные данные. Поскольку дата рождения и номер телефона могли попасть в утечку, при проверке личности по контрольным вопросам одних этих сведений нельзя считать достаточным подтверждением.

В долгосрочной перспективе пользователям следует использовать отдельные пароли для аккаунтов спортивных залов, интернет-магазинов и социальных сетей, создавать надежные пароли с помощью менеджера паролей и сокращать объем ненужных персональных данных в старых аккаунтах. Постоянные сведения, такие как номера телефонов и даты рождения, сложно изменить, поэтому они могут вновь появляться в мошеннических сообщениях даже спустя годы после утечки. Если пользователь больше не пользуется старым фитнес-аккаунтом, ему следует сократить объем сохраняемых данных в настройках аккаунта, ограничить получение сообщений и удалить ненужную информацию из профиля.

Утечка Glofox показывает, что в системах управления абонементами необходимо одновременно обеспечивать безопасность паролей и защиту персональных данных профиля. Слабая защита хешированных паролей в сочетании с номерами телефонов и датами рождения создает долгосрочные риски. Регулярное соблюдение правил безопасности паролей, защита электронной почты, бдительность в отношении мошенничества через SMS и защита каналов восстановления аккаунтов снижают вероятность повторного использования данных из таких старых утечек.

Пользователям, у которых на LeakData найдено совпадение с Glofox, следует рассматривать этот результат как указание на инцидент с данными об абонементах в спортивные залы и аккаунтах от 27 марта 2020 года. Совпадение не обязательно означает, что данные кредитных карт или способов оплаты точно утекли. Однако наличие адресов электронной почты, номеров телефонов, дат рождения, сведений о поле, имен и хешей паролей создает риски для безопасности аккаунтов и возможность адресных атак через сообщения. Пользователю следует сосредоточиться на смене паролей, усилении защиты почтового аккаунта и проверке поддельных уведомлений, полученных по телефону.

Наиболее подходящая стратегия реагирования на этот инцидент, взять аккаунты под контроль и снизить риск социальной инженерии, не создавая паники по поводу банковских карт. Пользователю следует сменить пароль Glofox, привести в порядок все аккаунты, где использовался тот же пароль, включить многофакторную аутентификацию и проверять сообщения о спортивных залах или бронированиях через официальные страницы входа. Эти шаги значительно снижают вероятность того, что старая утечка архивных данных будет использована в новых попытках мошенничества.