Утечка данных LeroyMerlin.ru (2023)

Покупки в магазинах товаров для ремонта и строительства часто связаны с указанием адреса, доставкой, выбором магазина, заявками на услуги и обращениями в службу поддержки. Если вместе с данными учётной записи электронной почты клиента раскрываются его имя, номер телефона, адрес и местоположение, поддельные уведомления о доставке, сообщения об изменениях в заказе, оформлении возврата, гарантийные формы, рекламные купоны или запросы на подтверждение регистрации в магазине могут выглядеть весьма убедительно. Профили в социальных сетях и активность на сайте позволяют ещё точнее персонализировать такие сообщения. Наличие сведений о хешах паролей и солей паролей указывает на то, что утечка затрагивает не только маркетинговые данные, но и механизмы защиты аккаунтов.

В этой записи категории данных упрощены с учётом проверенных полей. Категории, для которых не было достаточных подтверждений, такие как имя пользователя и название компании, удалены; сохранены поля с идентификационными и контактными данными, адресом, местоположением, профилями в социальных сетях, активностью на сайте и сведениями о защите паролей. Сведения о хешах паролей и соли паролей выделены отдельно, поскольку утечка также раскрывает важную для безопасности информацию о способе хранения пароля. Указание активности на сайте дополнительно показывает, что риски могут затрагивать поведение пользователя на платформе и обстоятельства его покупок. Такая структура позволяет пользователю понять, какие типы данных действительно создают риски, без добавления лишних полей.

Затронутым пользователям следует проверить, не используется ли пароль от их аккаунта LeroyMerlin.ru в других сервисах. Если тот же или похожий пароль используется где-либо ещё, его следует изменить во всех соответствующих аккаунтах и по возможности включить многофакторную аутентификацию. Из-за утечки адресов и номеров телефонов следует остерегаться мошеннических звонков под видом уведомлений о доставке, отправке товаров, возврате, записи на обслуживание или акциях. Сведения, сопоставленные с профилями в социальных сетях, могут использоваться для адресной рассылки сообщений, которые выглядят более персональными. Поэтому сообщения со ссылками следует проверять напрямую: вручную вводить доменное имя или пользоваться знакомым приложением.

Этой записи на LeakData присвоен критический уровень. Описание составлено так, чтобы естественно соответствовать поисковым запросам об утечке данных LeroyMerlin.ru, утечке данных Leroy Merlin в России, утечке клиентских данных, безопасности адресных данных, утечке профилей в социальных сетях, безопасности данных об активности на сайте и рисках, связанных с хешами паролей. Пользователь может ясно увидеть, сколько примерно записей затронуто инцидентом, какие поля данных были проверены и почему они представляют опасность в контексте розничной и электронной торговли.

Из записи LeroyMerlin.ru удалены поля имени пользователя и названия компании, поскольку проверяемые области риска уже достаточно ясно определены: идентификационные данные клиента, адрес, местоположение, профили в социальных сетях, активность на сайте и безопасность паролей. Наличие адреса и номера телефона в данных розничной торговли особенно облегчает социальную инженерию под видом доставки, записи на обслуживание, возвратов, гарантийного обслуживания и акций. Профили в социальных сетях могут помочь злоумышленнику создать у пользователя впечатление личного обращения, а активность на сайте, дать подсказки о покупках или использовании клиентского аккаунта. Сведения о хешах паролей и соли паролей также важны для безопасности аккаунтов; пользователи, которые применяют тот же пароль в других аккаунтах, подвергаются дополнительному риску. Благодаря этой корректировке запись не является ни неполной, ни раздутой за счёт неподтверждённых полей. На экране результатов пользователь может ознакомиться с реалистичными угрозами и необходимыми действиями без лишних технических подробностей.

Эта запись также показывает, что даже старые клиентские аккаунты розничных магазинов могут использоваться во зло. Пользователь мог переехать, сменить номер телефона или давно не пользоваться аккаунтом; однако утекший адрес электронной почты и сведения о прежнем адресе могут использоваться в текущих попытках мошенничества при сопоставлении с другими наборами данных. Поэтому риск не ограничивается только активными заказами.