Предполагаемое раскрытие данных Lyf App

В этой записи присутствуют следующие типы данных: адреса электронной почты, имена, имена пользователей, сведения о географическом местоположении или стране, даты рождения и пароли. В некоторых записях поле пароля представлено хешем; утверждений о наличии паролей в открытом виде не было. Эти поля оценивались по отдельности. В список категорий данных не добавлялись сведения о платёжных картах, банковских счетах, официальных удостоверениях личности, личных сообщениях, медицинских записях или дополнительных полях профиля, наличие которых не было подтверждено.

С учётом тематики психического здоровья и личной поддержки даже установление связи между наличием аккаунта на платформе и адресом электронной почты, именем или именем пользователя создаёт риск для конфиденциальности. Сам по себе адрес электронной почты несёт риск нежелательных сообщений и фишинга. В сочетании с именем, номером телефона, адресом, IP, датой рождения или профессиональными сведениями он облегчает злоумышленнику подготовку более персонализированного сообщения. Поэтому при оценке риска учитывалось не только количество записей, но и то, как эти поля можно использовать в совокупности.

В текущей записи масштаб был сохранён на уровне 226 219 аккаунтов; разные значения из открытых источников не складывались в единый итог. Неподтверждённые поля были исключены, а подтверждённые поля данных сохранены. Это позволяет информировать пользователя о текущей записи, не вызывая чрезмерной тревоги, но и не преуменьшая реальный риск.

Такие поля, как идентификатор в социальных сетях, время события или личный контент, не были добавлены в категории данных, поскольку их наличие подтверждалось не во всех случаях. Другие события с похожими названиями, если они имелись, не объединялись с этой записью в одно крупное событие. Доменное имя, название компании и сведения об отрасли были сохранены в максимально узком и точном контексте. Это предотвращает добавление дубликатов или ошибочно связанных утечек.

К группам риска могут относиться те, кто создал аккаунт в Lyf App, присоединился к сообществам поддержки или делился личным опытом. Пользователям, для которых найдено совпадение, следует учитывать не только аккаунт в этом сервисе, но и другие аккаунты с тем же адресом электронной почты, именем пользователя или схемой создания пароля.

У людей, использующих одно и то же имя пользователя на разных платформах, связанных с чувствительными темами, повышается риск установления связи между настоящей личностью и псевдонимом. Для тех, кто регистрируется с корпоративным адресом электронной почты, риск может выходить за пределы отдельного аккаунта. Злоумышленники могут использовать имя, должность, номер телефона, адрес, сведения о покупках, игровой идентификатор или профессиональный профиль, чтобы отправлять более убедительные сообщения. Поэтому пользователям не следует считать найденное совпадение проблемой, касающейся только одного сайта.

Пострадавшим пользователям следует сменить пароль в Lyf App и в других аккаунтах, где используется тот же пароль, а также включить двухэтапную проверку в электронной почте и социальных сетях. Если в записи есть поле пароля, необходимо сменить пароль во всех аккаунтах, где он повторяется. Если поля пароля нет, основное внимание следует уделить рискам, связанным с электронной почтой, телефоном и поддельными уведомлениями. В обоих случаях почтовый аккаунт необходимо защитить надёжным и уникальным паролем.

Вместо перехода по ссылкам из сообщения следует вручную ввести адрес соответствующего сервиса или воспользоваться записью в надёжном менеджере паролей. Сообщения (например, коды подтверждения, полученные по телефону, запросы на сброс пароля, уведомления о доставке, предложения работы, сообщения службы поддержки, уведомления о подписке или безопасности) не следует принимать на веру без проверки через независимый канал.

В приложениях, где обсуждаются чувствительные темы, следует свести к минимуму указание настоящего имени, даты рождения, местоположения и имён пользователя, которые используются повторно. Следует регулярно удалять старые аккаунты, очищать неиспользуемые поля телефона и адреса, а также отказываться от повторяющихся имён пользователя и одинаковых схем создания паролей. Пользователям следует использовать уникальный пароль для каждого сервиса и включать двухэтапную проверку везде, где это возможно.

Для поставщиков услуг базовыми требованиями являются минимизация объёма хранимых данных, надёжная защита паролей, мониторинг журналов доступа, удаление ненужных полей профиля и уведомление пользователей после утечки. Для приложений, связанных с психическим здоровьем, минимизация данных и понятное информирование пользователей, важнейшие составляющие доверия. В таких случаях точное сообщение о масштабе утечки не менее важно, чем исправление технических проблем: преувеличенная или неполная информация может подтолкнуть пользователя к неверным действиям.

Сначала пользователю следует проверить свой адрес электронной почты по этой записи. Если найдено совпадение, нужно учитывать, что поля имени, имени пользователя, даты рождения, местоположения и пароля могут быть под угрозой, и отказаться от повторного использования паролей в приложениях, связанных с чувствительными темами. Отсутствие совпадения не исключает полностью повторного использования старых паролей или использования разных адресов электронной почты в одном и том же сервисе. Поэтому наиболее важные аккаунты следует проверить отдельно.

Эта запись осталась помеченной как чувствительная, но неподтверждённая. Текст был отредактирован так, чтобы неоднозначные поля не представлялись как достоверные факты. При этой редактуре поля данных были оставлены в виде канонических категорий на английском языке, видимое пользователю описание было написано на турецком языке в исходном виде, неподтверждённые поля не включались, а флаг чувствительности использовался только тогда, когда это было обосновано характером риска.