Утечка данных Lazada RedMart

В утечке Lazada RedMart подтверждено наличие адресов электронной почты, имён и фамилий, номеров телефонов, физических адресов, частичных данных кредитных карт и хешей паролей. Сам по себе этот набор данных не означает наличия полного доступа к платёжным средствам. Однако сочетание имени клиента, адреса доставки, телефона и электронной почты позволяет создавать очень убедительные поддельные заказы, обращения от имени службы поддержки и сообщения о безопасности аккаунтов. Частичные данные карты могут включать первые шесть и последние четыре цифры, имя держателя, срок действия или контактные данные для выставления счетов, поэтому пользователям следует внимательнее следить за выписками и уведомлениями.

• Адреса электронной почты: Могут использоваться для фишинга под видом RedMart и Lazada, поддельных предложений скидок, уведомлений о доставке и сообщений о восстановлении доступа к аккаунту.
• Имя, телефон и адрес: Позволяют точнее нацеливать обман на конкретного человека; мошенник может попытаться убедить пользователя, имитируя формулировки настоящих сообщений о заказах и доставке.
• Хеши паролей: SHA-1, устаревший метод, хеши которого можно быстро взломать. Для людей, использующих тот же пароль в других аккаунтах, риск захвата аккаунтов повышается.
• Частичные данные кредитных карт: Не означают раскрытия полных реквизитов карты. Тем не менее их могут использовать для мошенничества, например при звонке якобы из банка, под предлогом перевыпуска карты или в поддельном подтверждении платежа.
• Физические адреса: В сочетании с данными о доставке и выставлении счетов повышают риск преследования по домашнему адресу, адресных сообщений и обхода проверки личности.

В подтверждённой записи об утечке указаны дата 30 июля 2020 года и охват на уровне 1 107 789 аккаунтов или адресов электронной почты. В сообщениях того периода утверждалось, что данные RedMart выставили на продажу и что записи охватывали период до июля 2020 года включительно. В официальном решении по защите данных в Сингапуре отмечено, что данные были выведены из системы 6 сентября 2020 года и инцидент затронул 898 791 физическое лицо. Эти два числа отражают разные уровни подсчёта: одно (показатель индекса, основанный на аккаунтах или адресах электронной почты, другое) число физических лиц, использованное при официальном рассмотрении. Поэтому в записи следует сохранять общее число 1 107 789 записей, а официальное число физических лиц указывать в пояснении как отдельное уточнение охвата.

Охват ограничен прежними данными клиентов и поставщиков RedMart. Не следует представлять как подтверждённый факт утверждение о компрометации актуальных клиентских данных Lazada или всех аккаунтов Lazada в регионе. Приобретение RedMart компанией Lazada объясняет связь названий, однако подтверждённый набор данных этой утечки относится к записям из прежних систем RedMart. Кроме того, нельзя добавлять в эту запись типы данных, не входящие в подтверждённые поля, например номер социального страхования, паспортные данные, сведения о здоровье, полный номер карты, CVV или сведения о банковском счёте.

Наибольшему риску подвергаются пользователи, которые используют пароль от аккаунта RedMart также для электронной почты, покупок, банковских сервисов, социальных сетей или рабочих аккаунтов. Хотя хеши паролей не являются открытым текстом, SHA-1, устаревший и быстрый алгоритм хеширования, позволяющий быстро проверять варианты. Поэтому слабые, короткие или ранее утёкшие пароли можно быстро подобрать. Для людей, которые входят во многие сервисы с одним и тем же адресом электронной почты, эта запись может обернуться проблемой безопасности, затрагивающей гораздо больше аккаунтов, чем один покупательский.

Пользователи, чьи адреса и номера телефонов попали в утечку, также более уязвимы для целевого мошенничества. Мошенники могут сочетать настоящие имена, реальные адреса доставки и частичные данные карт в схемах с поддельной службой поддержки, фиктивным возвратом товара, требованием оплатить доставку, приостановкой аккаунта или проверкой карты. Людей, которые давно не совершали покупок в RedMart, также нельзя считать защищёнными от риска: старые наборы данных могут использоваться для фишинга и сопоставления профилей даже спустя годы.

Немедленно замените пароль, который вы ранее использовали в аккаунте RedMart или Lazada, на уникальный и надёжный. Если вы использовали такой же или похожий пароль в других сервисах, отдельно обновите пароли и в этих аккаунтах. В первую очередь займитесь электронной почтой, финансовыми сервисами, покупательскими аккаунтами, социальными сетями и рабочими аккаунтами. Недостаточно просто немного изменить пароль: если старый пароль построен по предсказуемому шаблону, злоумышленники могут проверить и такие варианты.

1. Включите многофакторную аутентификацию: Используйте приложение для аутентификации или ключ безопасности во всех аккаунтах, где это поддерживается.
2. Следите за выписками: Из-за раскрытия частичных данных карты обращайте внимание на небольшие и незнакомые операции по ней.
3. Не доверяйте поддельным сообщениям от службы поддержки: Если у вас просят пароль, одноразовый код, полный номер карты или CVV, прекратите взаимодействие.
4. Снизьте риски, связанные с адресом и телефоном: Не открывайте ссылки, присланные под предлогом доставки, возврата или уплаты налогов, вне официального приложения или официального сайта.
5. Проверьте сеансы в аккаунте: Если вы обнаружите незнакомое устройство, новый адрес доставки, изменение сохранённой карты или подозрительную попытку заказа, заблокируйте аккаунт.

Этот инцидент показывает, что аккаунты в сервисах электронной торговли содержат не только историю покупок, но и сведения о личности, адресе, телефоне и платежах. В долгосрочной перспективе необходимо использовать уникальный пароль для каждого интернет-магазина, создавать случайные пароли с помощью менеджера паролей и обеспечивать отдельный высокий уровень защиты аккаунта электронной почты. Регулярная проверка старых аккаунтов, закрытие неиспользуемых учётных записей и сокращение числа сохранённых карт снижают личные риски.

Чтобы предотвратить злоупотребление данными об адресе и телефоне, пользователям важно оценивать полученные сообщения с учётом контекста. Сообщению нельзя доверять лишь потому, что отправитель знает ваше настоящее имя, район доставки или последние четыре цифры карты. Для компаний вывод также очевиден: клиентские данные, оставшиеся в прежних системах, по-прежнему создают риск и нуждаются в защите, даже если они отделены от текущих процессов обслуживания клиентов. Ограничение прав доступа, отдельная аутентификация, отказ от хранения ненужных данных, надёжное журналирование и оперативное уведомление снижают последствия подобных инцидентов.

Если ваш адрес электронной почты найден в этой записи, прежде всего проверьте историю использования RedMart/Lazada и другие аккаунты, где вы используете тот же пароль. Совпадение не означает, что полные реквизиты вашей карты или весь ваш аккаунт Lazada скомпрометированы. Подтверждённый охват включает прежние клиентские данные RedMart, частичные данные карт и хеши паролей. Тем не менее следует принять меры для защиты от фишинга, захвата аккаунтов и целевого мошенничества.

Даже если ваш адрес не найден в записи, но вы раньше пользовались RedMart, разумно принять базовые меры предосторожности: использовать уникальный пароль и многофакторную аутентификацию, следить за выписками, осторожно относиться к подозрительным сообщениям и удалить ненужные сохранённые карты. Если ваш адрес электронной почты присутствует в этой утечке, паниковать не нужно. Однако дальнейшее использование того же пароля в других сервисах повышает риск. Безопасный подход, изолировать затронутый аккаунт, отказаться от общих паролей с другими аккаунтами и внимательнее относиться к попыткам социальной инженерии, в которых используются ваши телефонные или адресные данные.