Утечка данных Locally

Основные типы данных, подтвержденные в этой записи, адреса электронной почты, номера телефонов, физические адреса, записи о покупках, частичные сведения о кредитных картах и данные паролей. Под частичными сведениями о карте понимаются ограниченные поля, например тип карты и последние четыре цифры; наличие полного номера карты или ее кода безопасности в этой записи не подтверждено. Данные паролей представлены в виде хешей bcrypt. Надежный формат хеширования не означает, что пароль доступен в открытом виде, однако для слабых паролей и паролей, используемых повторно, риск сохраняется.

Наличие электронной почты, телефона и физического адреса в одной записи повышает вероятность целевой социальной инженерии. Сведения о покупках могут подсказать злоумышленнику, какой товар, магазин или сценарий заказа связан с пользователем. Одних лишь частичных данных карты может быть недостаточно для совершения платежа, но их можно использовать, чтобы вызвать доверие в поддельных обращениях от имени банка или по поводу возврата средств. Поэтому при оценке риска следует учитывать захват аккаунта, фишинг, необходимость отслеживания операций по карте и мошенничество с использованием адреса.

Подтвержденный масштаб охватывает инцидент Locally за октябрь 2022 года и 362 619 затронутых аккаунтов. В июле 2023 года запись была включена в крупные наборы данных об утечках как подтвержденная. Список категорий данных состоит из шести основных групп: адреса электронной почты, частичные данные кредитных карт, пароли, номера телефонов, физические адреса и записи о покупках. Сообщается, что компания прямо признала факт утечки, однако неясно, направлялись ли уведомления затронутым клиентам.

Полные номера кредитных карт, коды безопасности карт, банковские счета, номера официальных документов, удостоверяющих личность, и сведения о здоровье не следует включать в перечень подтвержденных полей этой записи. Техническая точка входа, использованная при инциденте, также не подтверждена; конкретные утверждения об уязвимости, вредоносном ПО или аккаунте сотрудника нельзя представлять как установленные факты. Эту запись следует рассматривать с акцентом на клиентские аккаунты и данные об операциях. Такой подход позволяет пользователю действовать исходя из рисков, связанных с фактически обнаруженными полями данных, а не с неподтвержденными сценариями.

Наибольшему риску подвержены люди, которые ищут товары в местных магазинах через Locally, оформляют заказы и пользуются доставкой или самовывозом. Если те же адрес электронной почты и номер телефона используются в аккаунтах других торговых сервисов, злоумышленник может попытаться сопоставить сведения о человеке в разных сервисах. Физический адрес может связать пользователя с конкретным городом, зоной обслуживания магазина или маршрутом доставки. История покупок также делает целевые сообщения более правдоподобными.

Сотрудникам розничной торговли, представителям магазинов, частым покупателям, людям, использующим один пароль в нескольких аккаунтах, и тем, кто не проверяет регулярно операции по карте, стоит проявлять особую осторожность. Частичные данные карты могут использоваться, в частности, при поддельных звонках от службы поддержки, когда пользователя просят сообщить остальные цифры номера карты. Хотя хеши паролей Bcrypt обеспечивают надежную защиту, короткие, предсказуемые или ранее использовавшиеся пароли создают дополнительный риск. Поэтому в первую очередь следует проверить аккаунты с повторно используемыми паролями.

Если у вас есть аккаунт Locally, смените пароль на длинный и уникальный. Если такой же или похожий пароль используется в других аккаунтах (для покупок, электронной почты, социальных сетей или платежей,) выберите для каждого из них отдельный новый пароль. В аккаунтах, которые поддерживают двухфакторную аутентификацию, следует включить ее, а также проверить сеансы входа в аккаунт и способы восстановления доступа. Даже если пароль представлен в виде хеша, при его повторном использовании злоумышленник все равно может попытаться применить его на других сайтах.

Проверьте операции по кредитной карте и с осторожностью относитесь к звонкам, SMS и электронным письмам, в которых упоминаются тип карты или ее последние четыре цифры. Если от имени банка или магазина приходит сообщение с запросом на проверку заказа, доставки, возврата или карты, вместо перехода по ссылке воспользуйтесь официальным приложением или известным вам адресом сайта. Поскольку адрес и телефон также доступны, неожиданные сообщения об отправке товара, самовывозе или звонки от службы поддержки следует проверять через другой канал связи. Если вы заметили подозрительный платеж или действия с заказом, обратитесь напрямую к эмитенту карты и в соответствующий магазин.

В долгосрочной перспективе для аккаунтов, используемых для покупок, стоит применять отдельный псевдоним электронной почты, уникальный пароль и, по возможности, уведомления о платежах. Если не хранить в браузере или аккаунтах магазинов ненужные сохраненные карты, старые адреса и прежние номера телефонов, объем доступных данных будет меньше. Сведения из сообщений о заказах и доставке следует всегда проверять в официальных аккаунтах; нельзя считать человека сотрудником банка или магазина лишь потому, что он знает последние четыре цифры карты.

Менеджер паролей помогает находить повторяющиеся пароли и создавать надежные пароли для каждого сервиса. Поскольку аккаунт электронной почты играет ключевую роль, его защиту тоже следует усилить. Можно отдавать предпочтение мгновенным уведомлениям от эмитента карты, лимитам расходов и виртуальным картам. Старые записи о покупках могут повторно использоваться в мошеннических сообщениях даже спустя годы; поэтому регулярное удаление ненужных данных из аккаунтов и отслеживание операций должны стать постоянной практикой безопасности.

Если проверка Locally на LeakData дает положительный результат, эта запись связана с раскрытием данных клиентов Locally и их покупок в октябре 2022 года. Первым шагом следует найти аккаунт с соответствующим адресом электронной почты, который использовался в Locally или для покупок в связанном с сервисом магазине. Затем нужно последовательно проверить, использовался ли пароль где-либо еще, актуальны ли сохраненные телефон и адрес и нет ли необычных операций по карте.

Подтвержденные категории данных для этой записи об утечке, адреса электронной почты, частичные данные кредитных карт, сведения о паролях, номера телефонов, физические адреса и записи о покупках. Данные паролей следует рассматривать как хеши bcrypt; полные номера карт, коды безопасности карт, номера банковских счетов и номера официальных документов, удостоверяющих личность, не являются подтвержденными полями этой записи. Действия пользователей должны быть направлены на устранение повторного использования паролей, защиту от целевого фишинга и социальной инженерии с использованием адреса, а также на отслеживание операций по карте.