Утечка данных HauteLook в 2018 году

К подтверждённым категориям относятся даты рождения, адреса электронной почты, пол, сведения о местоположении, имена и хеши паролей. В совокупности эти поля могут помочь составить электронные письма, текстовые сообщения или обращения от имени службы поддержки, которые выглядят адресованными конкретному клиенту. Имя, дата рождения и сведения о местоположении могут сделать мошеннические сообщения о проблемах с доставкой, скидках, продлении участия в программе или проверке платежа более убедительными.

Пароли были указаны в виде хешей bcrypt, а не читаемого открытого текста. Это не означает, что сами пароли были видны напрямую, однако слабые или повторно используемые пароли со временем всё равно могут создавать риск. Наличие хеша пароля в совпавшей записи не доказывает, что действующий пароль удалось определить. Выбор подходящих мер безопасности зависит от повторного использования паролей и текущей защиты соответствующих аккаунтов.

В подтверждённые категории не входят номера платёжных карт, номера телефонов и почтовые адреса. Это не означает, что никакие другие записи сервиса не были затронуты; так обозначаются лишь границы этого подтверждённого инцидента. Также не следует считать, что при каждом совпадении присутствуют данные всех типов. Совпадение стоит воспринимать как сигнал о личном риске, а не считать неподтверждённые сведения фактами.

На этой странице указана дата 7 августа 2018 года, а число записей в основном наборе составляет 28 510 459. Это число отражает подтверждённый охват по адресам электронной почты, а не общее количество всех клиентов за время работы сервиса, активных аккаунтов или нынешних пользователей. Поскольку один и тот же адрес электронной почты может встречаться в нескольких записях, общее число записей нельзя напрямую приравнивать к числу отдельных людей.

HauteLook относится к онлайн-сервисам покупок, специализирующимся на модных товарах. Этот инцидент связан только с данным сервисом: другие бренды или торговые сайты, которые могут входить в связанную с ним группу компаний, не включаются в его охват автоматически. Наличие сведений о человеке в записи HauteLook не доказывает, что у него был аккаунт в другом магазине или что другие аккаунты были затронуты этим инцидентом.

Подтверждённая информация не позволяет установить точку первоначального проникновения, личность злоумышленника, время копирования каждого файла данных или то, какие клиенты получили уведомления. Дата обозначает период, связанный с инцидентом; сама по себе она не показывает, когда данные впервые появились в интернете или когда каждый аккаунт использовался в последний раз. Эти неопределённости не снижают значимости инцидента, но требуют осторожности с техническими утверждениями, которые невозможно подтвердить.

В первую очередь о защите стоит позаботиться тем, кто использовал пароль от HauteLook также в другом аккаунте, для покупок, электронной почты или социальной сети. Защита с помощью Bcrypt не устраняет риски, связанные с паролями: злоумышленники могут использовать короткие, предсказуемые или повторно используемые пароли для попыток входа в другие системы. Если вы входите во многие сервисы с одним и тем же адресом электронной почты, стоит пересмотреть свои привычки использования паролей, особенно в давно созданных аккаунтах.

Если в найденной записи указаны дата рождения, имя и сведения о местоположении, следует остерегаться персонализированного мошенничества. Злоумышленник может использовать эти сведения в сообщениях о задержках доставки, бонусных баллах, купонах, продлении участия в программе или подтверждении заказа. Личные сведения в сообщении не доказывают, что его отправитель, настоящий представитель магазина.

Старые аккаунты для покупок, которыми вы больше активно не пользуетесь, тоже заслуживают внимания. Указанный при регистрации адрес электронной почты может по-прежнему использоваться для восстановления доступа к более новым сервисам. Если вы пользуетесь тем же почтовым ящиком, внимательно проверяйте незнакомые сеансы, правила пересылки, способы восстановления доступа и неожиданные уведомления о сбросе пароля.

Прежде всего, если пароль от HauteLook использовался и в других сервисах, замените пароли в них на уникальные и надёжные. Если доступ к аккаунту HauteLook сохранился, смените и его пароль, а также включите многофакторную аутентификацию, если такая возможность есть. Электронная почта используется для восстановления доступа ко многим сервисам, поэтому пароль почтового ящика и данные для восстановления доступа нужно проверить в первую очередь.

Проверяйте активность аккаунтов и входящие письма на наличие необычных событий. Получив уведомление о незнакомом входе, предложение купона, оповещение о заказе или сообщение о сбросе пароля, проверьте домен отправителя и запрашиваемое действие, прежде чем переходить по ссылке. Чтобы подтвердить подлинность уведомления, самостоятельно откройте сервис по его известному официальному адресу, а не переходите по адресу из сообщения.

При появлении подозрительной активности обращайтесь через официальный канал поддержки соответствующего сервиса. Если в настройках аккаунта отображается незнакомое устройство, сеанс, адрес для восстановления доступа или подключённое приложение, отзовите соответствующий доступ. Данные платёжных карт не входят в подтверждённые категории, однако, если в аккаунте для онлайн-покупок сохранён способ оплаты, всё равно разумно следить за уведомлениями банка и операциями по карте, чтобы замечать необычную активность.

Отдельный длинный пароль для каждого торгового сайта и онлайн-сервиса, одна из самых надёжных мер защиты. Менеджер паролей может создавать случайные пароли и помогать избегать их повторного использования. Если доступна многофакторная аутентификация, предпочтительнее использовать приложение-аутентификатор или аппаратный ключ; коды из текстовых сообщений усиливают защиту, но не могут предотвратить каждую убедительную попытку мошенничества.

Ограничивайте раскрытие необязательных сведений в профилях торговых сервисов, таких как дата рождения, пол, местоположение и предпочтительные способы связи. Проверка видимых данных профиля и сохранённых адресов в старых аккаунтах помогает сократить объём сведений, которые могут использоваться для будущих целевых атак. Ограничение передачи данных третьим сторонам в настройках конфиденциальности сервиса также может уменьшить ненужное распространение персональной информации.

Регулярно проверяйте безопасность восстановления доступа к аккаунтам. Дополнительные адреса электронной почты, номера телефонов, подключённые устройства и сеансы должны оставаться актуальными. По возможности держите уведомления о входе включёнными и быстро реагируйте на появление незнакомого сеанса или изменение адреса. Эти привычки защищают аккаунты всех клиентов, а не только тех, у кого найдено совпадение с этим инцидентом.

Воспользуйтесь проверкой записей на этой странице, чтобы узнать, найден ли ваш адрес электронной почты в данных инцидента HauteLook. Совпадение указывает на то, что адрес входит в подтверждённый охват; оно не доказывает, что в вашей записи присутствовали данные каждого типа, что пароль удалось определить или что действующий аккаунт был скомпрометирован. Воспринимайте результат как сигнал о личном риске, чтобы в первую очередь проверить повторное использование паролей и настройки восстановления доступа к аккаунтам.

Если совпадения нет, всё равно может быть полезно вспомнить старые адреса электронной почты, регистрации с другими адресами и закрытые аккаунты для покупок. Отсутствие совпадения не гарантирует, что ваших персональных данных нет где-либо ещё в интернете. Уникальные пароли, многофакторная аутентификация, регулярная проверка аккаунтов и независимая проверка подозрительных сообщений остаются наиболее надёжной защитой.