Утечка данных LiveAuctioneers

Поля данных в этой утечке позволяют составить довольно полное представление о владельце аукционного аккаунта и его контактных данных. Адрес электронной почты и имя пользователя, основные данные для попыток входа в аккаунт и рассылки фишинговых сообщений. Полное имя, номер телефона и физический адрес могут сделать более убедительными мошеннические обращения под видом уведомлений об отправке товара, счетов, напоминаний об оплате, предупреждений о безопасности аккаунта или предложений дорогих коллекционных предметов. IP-адреса также создают дополнительные риски, поскольку могут дать сведения о поведении владельца аккаунта и его приблизительном местоположении.

Защита записей паролей с помощью хешей MD5 без соли повышает уровень риска. MD5 считается слабым алгоритмом для современного хранения паролей; особенно быстро могут быть взломаны короткие, предсказуемые пароли или пароли, уже встречавшиеся в других утечках. Если один и тот же пароль используется для электронной почты, платежных сервисов, социальных сетей, торговых площадок или других аукционных аккаунтов, один инцидент с данными может создать угрозу для нескольких аккаунтов. Такие данные, как физический адрес и номер телефона, могут также использоваться для мошенничества вне интернета, звонков от имени служб доставки и адресных угроз.

Подтвержденный охват этой записи определяется инцидентом от 19 июня 2020 года и составляет приблизительно 3 385 862 аккаунта. В уведомлении LiveAuctioneers говорится, что неуполномоченная третья сторона получила доступ к некоторым данным пользовательских аккаунтов через партнера по обработке данных. Основные категории данных, которые следует указывать в записи, адреса электронной почты, IP-адреса, имена, пароли, номера телефонов, физические адреса и имена пользователей. Не каждый аккаунт обязательно содержит все эти поля, поэтому описание не должно создавать впечатление, что у всех пользователей были затронуты все категории данных.

Важное ограничение касается платежных данных и истории аукционов. В уведомлении компании указано, что нет свидетельств доступа к полным номерам платежных карт и что история аукционов, по оценке компании, не была затронута. Поэтому в запись не следует добавлять категории номеров карт или истории аукционов. Причину инцидента следует рассматривать как уязвимость безопасности на стороне поставщика, а не как проблему непосредственно в процессе проведения аукционов сервисом. Это разграничение позволяет верно обозначить область риска, не вызывая у пользователя излишней тревоги.

Наибольшему риску подвергаются люди, которые используют пароль от аккаунта LiveAuctioneers и в других сервисах. Можно ожидать автоматизированных попыток входа, особенно если та же комбинация адреса электронной почты и пароля используется для почтовых аккаунтов, небанковских платежных сервисов, социальных сетей, других торговых площадок, аккаунтов служб доставки или аукционных сайтов. Пользователи, приобретающие коллекционные предметы, антиквариат, ювелирные изделия или произведения искусства, также могут стать более привлекательными целями для адресного мошенничества: их имя, номер телефона, адрес и интерес к платформе можно использовать в совокупности.

Пользователям, чьи физические адреса и номера телефонов есть в записях, следует остерегаться не только онлайн-угроз, но и поддельных запросов по телефону и обычной почте. Злоумышленники могут выдавать себя за законных владельцев аукционных аккаунтов и обращаться к пользователям под предлогом подтверждения оплаты, внесения платы за доставку, уплаты таможенных сборов или проверки аккаунта. Дополнительные сведения, такие как IP-адрес и имя пользователя, могут помочь сделать атаку более персонализированной. Люди, которые больше не пользуются своими старыми аккаунтами, тоже остаются в зоне риска: старые пароли могут годами сохраняться в других аккаунтах.

Если ваш адрес электронной почты обнаружен в этой записи, прежде всего сравните старый пароль от аккаунта LiveAuctioneers с паролями от других аккаунтов. Если такой же или похожий пароль используется где-либо еще, установите для каждого аккаунта новый длинный и уникальный пароль. В первую очередь займитесь почтовыми аккаунтами, платежными сервисами, торговыми площадками, социальными сетями и аккаунтами служб доставки. Менеджер паролей помогает находить повторяющиеся пароли и создавать надежный пароль для каждого аккаунта.

В аккаунте LiveAuctioneers следует проверить историю сеансов, сохраненные адреса, номера телефонов и сведения для восстановления доступа. В аккаунтах, где это поддерживается, включите двухфакторную аутентификацию, завершите сеансы на неизвестных устройствах и не переходите по подозрительным ссылкам в электронных письмах или SMS. Внимательно проверяйте сообщения об аукционах, доставке, оплате, отправке товаров, безопасности аккаунта и специальных предложениях. Хотя полный номер карты не входит в подтвержденные категории данных этой записи, пользователям следует проверять платежные выписки и операции в аккаунтах на предмет необычной активности.

Этот инцидент показывает, что аккаунты на аукционных сайтах и торговых площадках ценны не только из-за истории покупок, но и из-за идентификационных и контактных данных. В долгосрочной перспективе основу защиты составляют уникальные пароли для каждого сервиса, двухфакторная аутентификация, регулярная проверка сеансов и закрытие ненужных аккаунтов. Пользователям следует свести к минимуму количество адресов и номеров телефонов, сохраненных в старых аукционных аккаунтах, закрыть аккаунты, которыми они больше не пользуются, и избегать повторного использования одного имени пользователя в разных сервисах, если это создает ненужные связи между аккаунтами.

Со стороны поставщика сервиса крайне важны ограничение доступа поставщиков, надежные алгоритмы хеширования паролей, мониторинг событий, регулярные проверки безопасности и оперативное уведомление пользователей. Для пользователя риск не исчезает после смены пароля в одном аккаунте: совокупность адреса электронной почты, номера телефона, физического адреса и имени пользователя может долгое время создавать угрозу социальной инженерии. Поэтому пользователям следует регулярно проверять безопасность аккаунтов и учитывать, что данные из старых утечек могут вновь использоваться в мошеннических сообщениях.

Если проверка в LeakData дает положительный результат по LiveAuctioneers, эта запись относится к инциденту с данными аккаунтов от 19 июня 2020 года, связанному с несанкционированным доступом через партнера по обработке данных. Сначала нужно определить затронутый адрес электронной почты и старый пароль, использовавшийся в аккаунте LiveAuctioneers. Затем следует составить список всех аккаунтов, в которых мог использоваться тот же пароль, установить для каждого новый уникальный пароль и по возможности включить двухфакторную аутентификацию. Вместо незначительных изменений старого пароля следует выбирать совершенно другие пароли.

При дальнейшей проверке сосредоточьтесь на попытках адресного мошенничества, в которых могут использоваться ваш номер телефона, адрес и полное имя. Поддельные сообщения от службы поддержки, сообщения о результатах аукционов, просьбы завершить оплату, оплатить доставку или уведомления о безопасности аккаунта следует проверять, открывая официальный сайт напрямую. Для этой записи подтверждены следующие категории данных: адреса электронной почты, IP-адреса, имена, пароли, номера телефонов, физические адреса и имена пользователей. Номера платежных карт или историю аукционов добавлять в эту запись не следует.