Last.fm Утечка данных

Основные поля, наличие которых подтверждено в утечке Last.fm, адреса электронной почты, имена пользователей, пароли и активность на сайте. Сочетание адреса электронной почты и имени пользователя позволяет злоумышленникам подготовить индивидуальные попытки подбора пароля, поддельные предупреждения о безопасности и сообщения о восстановлении доступа к аккаунту. Данные об активности на сайте, в свою очередь, повышают риск социальной инженерии: для этого могут использоваться музыкальные предпочтения пользователя, особенности использования профиля и поведение в сервисе.

Наиболее серьёзный риск связан с тем, что пароли представлены в виде хешей MD5 без соли. По современным стандартам безопасности MD5 считается слабым алгоритмом; пароли, хранящиеся без соли, можно быстрее взломать с помощью словарей и списков заранее вычисленных хешей. Если один и тот же пароль используется для электронной почты, социальных сетей, музыкальных сервисов, игр или покупок, злоумышленники могут попытаться применить скомпрометированные учётные данные в других сервисах. Поэтому результат по Last.fm, не просто предупреждение о старом музыкальном аккаунте, а важный сигнал об угрозе безопасности аккаунтов, требующий отказа от повторного использования паролей.

Утечка произошла в марте 2012 года. В 2012 году сервис выпустил для пользователей предупреждение, касающееся безопасности паролей, но реальный масштаб набора данных стал широко известен лишь в 2016 году. Подтверждённый набор данных аккаунтов содержит 37 217 682 уникальных адреса электронной почты; в более широких сообщениях об инциденте упоминается около 43 миллионов записей аккаунтов. Разница связана с дублирующимися аккаунтами, очисткой списка адресов электронной почты и отдельным учётом уникальных записей, которые можно подтвердить.

Категории данных на этой странице ограничены полями, которые можно подтвердить при проверке безопасности аккаунтов: адресами электронной почты, паролями, именами пользователей и активностью на сайте. Неподтверждённые технические подробности инцидента и дополнительные поля профиля, наличие которых не подтверждено для каждого пользователя, не представлены здесь как основные поля данных. Цель, показать пользователям, где сосредоточен реальный риск, и указать правильные меры безопасности, не вызывая необоснованного страха.

Основную группу риска составляют люди, у которых есть аккаунт Last.fm, которые используют одно и то же имя пользователя на разных платформах и повторно используют старые пароли. Поскольку музыкальные сервисы часто используются вместе с социальными профилями, именами пользователей и связями с другими платформами, злоумышленники могут искать одного и того же человека на разных сайтах. Если старое имя пользователя по-прежнему встречается в социальных сетях, электронной почте или игровых аккаунтах, риск сопоставления аккаунтов возрастает.

Те, кто повторно использует пароли, подвергаются повышенному риску. Даже если пароль, использовавшийся в 2012 году, больше не применяется, злоумышленники могут пробовать похожие варианты, если новые пароли созданы по тому же шаблону. Если пароль почтового аккаунта относится к той же группе похожих паролей, механизмы сброса паролей других аккаунтов тоже могут стать целью атак. Музыкальные предпочтения и поведение в профиле могут использоваться в персонализированных поддельных сообщениях, поэтому риск фишинга также нельзя игнорировать.

Немедленно смените пароли во всех аккаунтах, где используется тот же или похожий пароль, что и в Last.fm. Новый пароль должен быть уникальным, длинным и случайным; хранить его следует в менеджере паролей. В первую очередь защитите электронную почту, социальные сети, музыкальные сервисы, игровые аккаунты и платформы, содержащие платёжную информацию. Добавление цифры в конец старого пароля или небольшие изменения букв не обеспечивают достаточной защиты.

Включите многофакторную аутентификацию во всех аккаунтах, которые её поддерживают. В почтовом аккаунте проверьте историю входов, адреса для восстановления доступа, правила пересылки и неизвестные устройства. Будьте осторожны с поддельными предупреждениями о безопасности, связанными с Last.fm или музыкальными сервисами, ссылками для обмена песнями, сообщениями о подтверждении профиля и запросами на сброс пароля. Перед переходом по ссылке проверяйте доменное имя и не вводите пароли на страницах, открытых по ссылкам из подозрительных сообщений.

Инцидент с Last.fm показывает, что утечка, произошедшая много лет назад, может и сегодня влиять на безопасность аккаунтов. Регулярно пересматривайте свои старые пароли, не используйте один и тот же пароль в разных сервисах и по возможности пользуйтесь псевдонимами адресов электронной почты. Если имена в социальных профилях, музыкальных аккаунтах и на форумах очень похожи, злоумышленникам проще связать аккаунты между собой.

Для постоянной защиты следует совместно использовать менеджер паролей, правило уникальности паролей, многофакторную аутентификацию и уведомления о сеансах. Старые неиспользуемые аккаунты нужно закрыть или хотя бы защитить надёжным паролем. В корпоративной среде следует внедрить проверки на утекшие пароли, обучение безопасности и правила дополнительной проверки, чтобы сотрудники не использовали в рабочих аккаунтах пароли от личных музыкальных сервисов и социальных сетей.

Если при проверке безопасности аккаунтов появляется результат по Last.fm, это означает, что соответствующий адрес электронной почты входит в подтверждённый набор данных аккаунтов, связанный с утечкой Last.fm 2012 года. Этот результат не означает, что ваш нынешний аккаунт Last.fm скомпрометирован сегодня; однако он указывает на риск неправомерного использования имени пользователя, адреса электронной почты и сведений о пароле, использовавшихся в прошлом. Риск выше, если тот же пароль использовался в других аккаунтах.

Сначала защитите свою электронную почту, затем поочерёдно обновите данные доступа во всех аккаунтах, где используется тот же или похожий пароль. Если обнаружены подозрительные сеансы, неизвестные устройства, неожиданные сообщения о сбросе пароля или странные уведомления, отправленные из вашего аккаунта, завершите сеансы и начните проверку через центр безопасности соответствующего сервиса. Полный отказ от повторного использования паролей, обновление старых музыкальных и социальных аккаунтов и осторожность в отношении фишинговых сообщений, наиболее эффективные действия при обнаружении результата по Last.fm.