Утечка данных MangaToon

Адреса электронной почты, имена и имена пользователей могут использоваться для целевого фишинга или попыток сопоставить аккаунты на разных сервисах, а сведения о поле, аватары и данные профилей в социальных сетях позволяют сделать сообщения более персональными. Подтверждено, что пароли хранились в виде хешей MD5 с солью. Использование соли не позволяет одинаковым паролям давать одинаковый хеш, однако MD5 не является современным алгоритмом хеширования паролей, специально замедленным для защиты от перебора. Поэтому слабые пароли остаются уязвимыми к подбору без обращения к серверу. Токены аутентификации, полученные при входе через социальные сети, не являются паролями, а сроки их действия не были раскрыты. Тем не менее токены, действовавшие на момент кражи, могли создать отдельный риск для сеансов. Категория данных «профили в социальных сетях» относится к сведениям, идентифицирующим аккаунты; она не подтверждает раскрытие личных сообщений или паролей от социальных сетей.

В качестве даты инцидента указано 13 мая 2022 года. Согласно техническим сообщениям, злоумышленник получил доступ к серверу Elasticsearch компании MangaToon с помощью легко угадываемых учётных данных. В этих сообщениях утверждалось, что паролем было буквально «password». Как сообщалось, учётные данные сервера были изменены после того, как злоумышленник уведомил компанию. Однако неоднократные попытки связаться с компанией и получить ответ для пользователей остались безрезультатными. Образцы записей аккаунтов, переданные новостной организации, также были проверены: было подтверждено, что они соответствуют реальным аккаунтам на платформе. В июле 2022 года более 23 миллионов записей были добавлены в каталог подтверждённых утечек. Общедоступная информация не позволяет установить, как долго база данных оставалась доступной, действовали ли токены в тот момент и содержала ли каждая запись все поля. Поэтому эти обстоятельства не следует представлять как достоверно установленные.

Наиболее непосредственному риску подвергаются люди, которые использовали пароль от MangaToon на других сервисах, и пользователи, входившие через аккаунт в социальной сети. Если пароль удастся восстановить, его могут использовать для атак с подстановкой учётных данных на почтовые сервисы, социальные сети или другие развлекательные платформы, где принимаются те же учётные данные. Пользователям, в чьих записях присутствовали токены входа через социальные сети, одной смены пароля может быть недостаточно: необходимо также проверить разрешения подключённых приложений и активные сеансы. Сочетание имени, адреса электронной почты, сведений о поле, аватара и данных профиля в социальной сети может сделать поддельные сообщения службы поддержки или рекламные предложения от имени MangaToon более убедительными. Не следует считать, что все поля присутствовали в каждой из 23 040 238 записей, а токены остаются действительными сегодня. Платёжные данные и физические адреса не входят в подтверждённый объём утечки, поэтому утверждения о финансовом мошенничестве нельзя напрямую связывать с этим инцидентом.

Замените пароль от MangaToon на длинный и уникальный. Установите отдельные учётные данные для каждого сервиса, где использовался такой же или похожий пароль. Включите многофакторную аутентификацию для связанного почтового аккаунта и аккаунта в социальной сети. Если вы входили через социальную сеть, проверьте список подключённых приложений у соответствующего провайдера, отзовите доступ MangaToon и, если решите подключить его снова, делайте это только через официальное приложение или сайт. Завершите существующие сеансы и проверьте незнакомые входы. Не переходите по ссылкам в неожиданных сообщениях от имени MangaToon о сбросе пароля, бесплатных токенах, подписке или разблокировке контента. Если адрес электронной почты в профиле, имя пользователя, аватар или подключённый аккаунт в социальной сети изменились без вашего разрешения, обратитесь в службу поддержки через официальный канал. Никогда не вводите пароль или значение токена в форму поиска по утечкам или на стороннем сайте.

Менеджер паролей, который создаёт отдельный пароль для каждого сервиса, не позволяет старой утечке поставить под угрозу другие аккаунты. Вход через социальные сети может быть удобным, но списки подключённых приложений следует периодически очищать, а неиспользуемые сеансы, завершать. Поскольку электронная почта служит основным средством восстановления доступа ко многим аккаунтам, защитите её максимально надёжным уникальным паролем и многофакторной аутентификацией. Если аккаунт MangaToon больше не нужен, выясните через официальные каналы, как его удалить или закрыть. Для операторов сервисов долгосрочная защита включает изоляцию интерфейсов управления от общедоступного интернета, использование надёжных уникальных служебных учётных данных, ограничение сетевого доступа, применение современных алгоритмов хеширования паролей, ограничение срока действия токенов, отслеживание аномалий и чёткий порядок уведомления об инцидентах.

Найдите свой адрес электронной почты в LeakData, чтобы узнать, есть ли он в данных об утечке MangaToon. Проверяйте только адрес, который принадлежит вам или который вы уполномочены проверять. Совпадение означает, что адрес присутствует в подтверждённом наборе данных; оно не доказывает, что пароль удалось восстановить, токен социальной сети по-прежнему действителен или аккаунт был захвачен. Отсутствие результатов не должно служить основанием игнорировать заслуживающее доверия уведомление о безопасности, полученное по другому каналу. Если совпадение найдено, сначала замените пароли, которые использовались повторно, затем проверьте подключённые приложения социальных сетей, активные сеансы и настройки восстановления доступа к аккаунту.