Утечка данных Lumin PDF в 2019 году

Проверенный набор данных содержал токены аутентификации, адреса электронной почты, сведения о поле, имена, пароли, языки пользователей и имена пользователей. 15 453 048 уникальных аккаунтов, это число записей в доступном для поиска наборе данных после удаления дубликатов. По сообщениям, публично распространенный архив содержал приблизительно 24,3 миллиона строк, поэтому эти два показателя нельзя использовать как взаимозаменяемые. Большинство записей содержало токен доступа, связанный с подключением Lumin PDF к Google Drive, а записи 118 746 аккаунтов, созданных непосредственно в Lumin, содержали хеши паролей bcrypt. Нельзя считать, что каждая строка включала и пароль, и токен. Компания заявила, что к моменту инцидента срок действия утекших токенов Google истек и они не могли предоставить доступ к документам или подписям пользователей. Это было утверждение компании, которое опубликовавшее материал издание независимо не проверило.

По сообщениям, в апреле 2019 года база данных, принадлежавшая Lumin PDF, оказалась доступна в интернете без защиты паролем, и данные из нее были похищены. В сентябре 2019 года сведения о пользователях стали доступны для скачивания на криминальном форуме. Журналисты получили копию и проверили ее подлинность, сверив данные нескольких пользователей Lumin PDF. После первой публикации Lumin PDF провела расследование и подтвердила, что материал содержал часть данных ее пользователей. В раскрытой базе данных было около 24,3 миллиона строк, тогда как основное число записей после удаления дубликатов составляет 15 453 048. Компания продолжала утверждать, что токены доступа Google были недействительны. Издание сообщило, что не смогло независимо проверить это утверждение и что Google проводила расследование. Точная продолжительность открытого доступа и то, были ли все строки получены одновременно, установлены не были, поэтому делать выводы о каких-либо дополнительных механизмах утечки не следует.

Пользователи, создавшие аккаунт непосредственно в Lumin PDF с использованием пароля, рискуют столкнуться с захватом аккаунта, особенно если тот же пароль использовался для электронной почты или другого сервиса. Bcrypt замедляет перебор паролей без обращения к сервису, но не делает короткие, распространенные или ранее утекшие пароли неподдающимися подбору. Для пользователей, входивших через Google, риск зависит от того, был ли токен доступа действителен в тот момент и какие разрешения он предоставлял. Хотя компания заявила, что срок действия токенов истек, проверка доступа сторонних приложений остается разумной мерой предосторожности. Имена, адреса электронной почты, имена пользователей, сведения о поле и языковые настройки могут помочь составить убедительные сообщения о совместном доступе к документам, запросах подписи, счетах, приглашениях к совместной работе или безопасности аккаунтов. Совпадение адреса электронной почты не доказывает, что пароль был восстановлен, кто-то вошел в аккаунт Google или просмотрел какой-либо PDF-документ.

Если вы зарегистрировались непосредственно в Lumin PDF с использованием пароля, смените его и обновите пароли во всех других аккаунтах, где используются такие же или похожие учетные данные. Защитите основной почтовый ящик уникальным паролем и многофакторной аутентификацией, поскольку именно туда приходит большинство писем для сброса пароля. Откройте настройки разрешений сторонних приложений в своем аккаунте Google, проверьте, какие права предоставлены Lumin PDF, и отзовите доступ, если больше не пользуетесь сервисом. Если вы продолжаете им пользоваться, отзыв разрешения и повторное подключение через официальное приложение могут помочь сделать старый токен недействительным. Проверьте незнакомые вам сеансы Google, события безопасности и подключенные устройства. Не переходите по ссылкам из неожиданных сообщений об общих документах, электронных подписях, счетах или лимитах хранилища; открывайте Lumin PDF и Google Drive по их известным вам доменным адресам. Никогда не сообщайте пароль, токен доступа или одноразовый код представителю поддержки по телефону или в переписке.

Используйте менеджер паролей, чтобы создавать длинный уникальный пароль для каждого сервиса: тогда восстановление пароля по одному хешу bcrypt не поставит под угрозу другие аккаунты. Для электронной почты и облачных хранилищ отдавайте предпочтение ключам доступа или многофакторной аутентификации, устойчивой к фишингу. Регулярно проверяйте разрешения сторонних приложений в аккаунтах Google, Microsoft и аналогичных сервисов; удаляйте неиспользуемые подключения и предоставляйте только минимально необходимые права. Проверяйте настройки доступа, разрешения для ссылок и списки участников совместной работы с общими документами. Организациям следует защищать доступные из интернета базы данных с помощью аутентификации, списков разрешенных сетевых адресов и межсетевых экранов, хранить резервные копии с отдельным разграничением доступа и сканировать внешние ИТ-ресурсы. Для токенов OAuth следует ограничивать права до необходимого минимума, задавать короткий срок действия и предусматривать ротацию, а также механизм массового отзыва после инцидента. Не доверяйте отправителю только потому, что он знает настоящее имя файла или сведения о пользователе.

Воспользуйтесь защищенным полем поиска на этой странице, чтобы проверить все нынешние и прежние адреса электронной почты, которые вы могли использовать в Lumin PDF. Совпадение означает, что адрес присутствует среди 15 453 048 проверенных уникальных аккаунтов. Оно не показывает, содержала ли соответствующая строка хеш пароля bcrypt или токен доступа Google, не доказывает, что токен был действителен, и не свидетельствует об утечке документов. Если поиск дал результат, выясните, использовали ли вы пароль для прямого входа, смените его везде, где он по-прежнему используется повторно, и проверьте доступ сторонних приложений в аккаунте Google. Если вы использовали то же имя пользователя на других сервисах, учитывайте риск фишинга и сопоставления ваших профилей. Никогда не вводите в поле поиска пароль, токен доступа, одноразовый код или содержимое документа. Отсутствие результата не дает абсолютной гарантии: ваши данные могут быть связаны с другим адресом, записью вне этого набора данных или другим инцидентом. Открывайте известный вам домен сервиса напрямую, а не по ссылкам из подозрительных уведомлений о документах или подписях.