Предполагаемое раскрытие данных Katapult
Утечка данных Katapult в 2020 году произошла в сентябре 2020 года, когда базы данных учётных записей клиентов Katapult (katapult.com, ранее Cognical Inc.), ведущей американской публичной компании, предоставляющей цифровое финансирование покупок в точках продаж по модели аренды с последующим выкупом, были скомпрометированы и попали в открытый доступ в интернете.
Типы раскрытых данных
4- Адреса электронной почты
- Имена пользователей
- Имена
- Пароли
Об этой записи
Какие данные были скомпрометированы в результате инцидента с Katapult?
Утёкшая таблица пользователей Django в PostgreSQL (public.auth_user) содержит 2 232 784 профиля зарегистрированных клиентов. Подтверждено наличие следующих категорий данных:
- Персональные и контактные идентификаторы: Имена и фамилии клиентов, а также основные адреса электронной почты, указанные при регистрации.
- Данные для аутентификации: Имена пользователей и криптографические хеши паролей, защищённые с использованием PBKDF2-SHA256 (12 000 итераций).
- Системные флаги и временные метки учётных записей: Даты создания учётных записей (date_joined), временные метки последнего входа и внутренние флаги привилегий.
Сколько учётных записей было затронуто?
Стандартизированная проверка в каноническом формате ASCII по RFC 5322 подтвердила наличие 2 229 128 уникальных корректных адресов электронной почты среди 2 232 784 записей клиентов.
Рекомендации по безопасности и защите личных данных
Раскрытие имён и адресов электронной почты клиентов платформы потребительского финансирования повышает риск целевого фишинга через SMS на финансовые темы, поддельных напоминаний о платежах по кредитам и социальной инженерии, связанной с кредитованием. Клиентам, затронутым утечкой, следует:
- Сохранять бдительность в отношении непрошеных обращений с требованиями внести арендный платёж или подтвердить кредит.
- Включить многофакторную аутентификацию (MFA) во всех банковских сервисах и сервисах управления личными финансами.
Методика проверки и подготовки материалов
LeakData сверяет название инцидента, дату, число затронутых записей и типы раскрытых данных с доступными источниками. Неподтверждённые сведения не представляются как факты, а записи обновляются при появлении новых подтверждающих данных.
Сообщить о недостающих или неверных сведениях
