Предполагаемое раскрытие данных MapExpert

В ходе проверки была подтверждена связь с доменом mapexpert.com.ua по состоянию на август 2018 года, а также наличие 10 967 записей с адресами электронной почты и подтвержденными полями паролей в открытом виде. Такой подход особенно важен для регистрационных данных старых форумов, интернет-магазинов, сайтов спортивных мероприятий, игровых сообществ, поставщиков технической продукции и картографических сайтов: сайты с похожими названиями, закрытые домены или перенаправления могут создавать впечатление, что речь идет об одном и том же инциденте. При создании записи MapExpert название, домен, количество записей, время инцидента и категории данных оценивались в совокупности.

Поскольку хранение паролей в открытом виде подтверждено, при повторном использовании пароля возникает прямой и высокий риск захвата аккаунта. Пользователи ресурсов технического обучения и картографических сайтов используют рабочую или академическую почту, поэтому повторное использование паролей создает риск и для других профессиональных аккаунтов. Именно поэтому запись содержит подробное описание: она не только называет инцидент, но и помогает понять, какие пароли нужно сменить, какие аккаунты проверить и на какие подозрительные сообщения обратить внимание.

Представленные в этой записи категории данных ограничены адресами электронной почты и паролями. Картографические файлы, данные проектов, история местоположений, платежные данные, телефоны и физические адреса не добавлены, поскольку их наличие не подтверждено. Это сознательное ограничение: чрезмерно широкий перечень данных в записях об утечках может привести к тому, что пользователи ошибочно сочтут некоторые аккаунты уязвимыми или упустят пароли, которые действительно представляют риск.

При текущих проверках не удалось подтвердить, что домен mapexpert.com.ua относится к надежно работающему активному сервису, либо создавалось впечатление, что он утратил связь с прежним брендом. Поэтому запись сохранена как относящаяся к выведенному из эксплуатации или недоступному сервису. Состояние сайта не отменяет последствий для безопасности на момент инцидента. Даже если старый домен сегодня перенаправляет на другую страницу, выглядит припаркованным или сервис изменился, утекшие учетные данные из-за повторного использования паролей могут применяться в автоматизированных повторных попытках входа и годы спустя.

Прежде всего вам следует проверить, используется ли адрес электронной почты, связанный с MapExpert, в других сервисах. Если та же пара адреса электронной почты и пароля используется на других сайтах, риск не ограничивается одним аккаунтом. В частности, одинаковый пароль для почтового ящика, социальных сетей, интернет-магазинов, игр, форумов, сайтов поиска работы и корпоративных порталов повышает риск цепочки захватов аккаунтов.

Проверьте, не используется ли тот же пароль в аккаунтах GIS-сервисов, образовательных, академических и рабочих ресурсов. При смене пароля недостаточно немного изменить его: например, старый пароль с добавленным в конце годом, восклицательным знаком или названием сайта легко проверить с помощью автоматизированных инструментов атаки. Лучше создать уникальный длинный пароль для каждого аккаунта, по возможности включить многофакторную аутентификацию и проверить старые адреса электронной почты для восстановления доступа.

На уровне организаций на таких регистрационных, картографических и учебных сайтах следует регулярно проверять таблицы пользователей, устаревшие приложения PHP и риски хранения паролей в открытом виде. Последствия утечки данных не ограничиваются раскрытием таблицы пользователей. Если те же пароли используются в VPN, панели администратора, клиентском портале, CMS, облачном хранилище или почтовом аккаунте, инцидент может создать риск дальнейшего перемещения злоумышленника внутри инфраструктуры и несанкционированного доступа.

При оценке рисков MapExpert учитывался и формат хранения паролей, открытый текст. Пароли в открытом виде представляют наибольший практический риск, поскольку их можно использовать напрямую. Таблицы, содержащие MD5, MD5 с солью, хеши старого программного обеспечения форумов или информацию о соли, можно проверять с помощью современного оборудования, даже если пароли не хранятся в открытом виде.

Эта запись создана, чтобы было проще понять границы инцидента при поиске по таким формулировкам, как «утечка данных MapExpert», «утечка паролей сайта GIS», «безопасность картографической платформы» и «риск паролей в открытом виде». Цель, дать всем, кого затронула утечка MapExpert, ясное представление о том, что произошло, какие типы данных подтверждены, какие поля исключены и какие меры безопасности необходимо принять.

Чтобы сократить число ложных совпадений, сведения с похожими названиями оставлены отдельно. С этим инцидентом не объединялись общие подборки, не связанные с mapexpert.com.ua, базы данных других брендов с похожими названиями и записи, которые остаются лишь однострочными утверждениями. Такое разграничение предотвращает дублирование записей об утечках и позволяет пользователю найти в списке именно соответствующий домен.

Важен и исторический характер инцидента. Архитектура безопасности, стандарты хранения паролей и практики обслуживания форумов или веб-приложений по состоянию на август 2018 года могли отличаться от современных требований. Однако это не уменьшает влияния старых записей. Пары адресов электронной почты и паролей из давних утечек по-прежнему могут использоваться в попытках захвата аккаунтов путем проверки этих данных в новых сервисах.

В записи MapExpert для пользователей сохранено число 10 967. Количество регистраций не обязательно совпадает с точным количеством пользователей: некоторые наборы данных могут содержать повторяющиеся строки, тестовые аккаунты или незаполненные поля. Тем не менее подтвержденное общее количество достаточно показательно, чтобы оценить масштаб инцидента и приоритет мер безопасности для пользователей.

Эта запись подготовлена для повышения осведомленности о безопасности. Пользователям не предлагается искать, скачивать или распространять утекшие данные. Необходимо усилить защиту соответствующих аккаунтов, отказаться от повторного использования паролей, завершить подозрительные сеансы, обновить способы восстановления доступа и, по возможности, сделать пароли всех аккаунтов уникальными с помощью менеджера паролей.

Хотя перечень типов данных в инциденте MapExpert кажется ограниченным, одного лишь адреса электронной почты, имени пользователя и пароля может быть достаточно для злоумышленника. Адрес электронной почты может использоваться для установления личности, попыток сброса пароля, поддельных уведомлений, почтовых рассылок и целевой социальной инженерии. Если пароль используется повторно, его можно непосредственно применить для попытки входа.

Практический список действий для владельцев аккаунтов таков: вспомните старый пароль, использовавшийся в соответствующем сервисе, смените пароли во всех аккаунтах с таким же или похожим паролем, проверьте историю входов в основной почтовый аккаунт, включите двухэтапную проверку и не используйте старый пароль повторно ни в одном сервисе. Организациям следует закрыть доступ к старым таблицам пользователей, проверить политики хеширования паролей и настроить оповещения о попытках автоматизированной подстановки учетных данных.

При подготовке этого текста в описание намеренно не включались бренды, не относящиеся к инциденту, общие подборки и неподтвержденные поля данных. Назначение записи MapExpert, прояснить обстоятельства отдельной утечки, показать пользователям, связанным с mapexpert.com.ua, что нужно проверить, и выделить подтвержденные домены на странице утечек данных вместо лишних указаний на источники.

Второй уровень риска для MapExpert связан с совпадением утекших учетных данных с другими наборами данных. Если тот же адрес электронной почты ранее использовался на форумах, в интернет-магазинах, при подаче заявок на работу, в играх или социальных сетях, злоумышленник может сделать предположения не только о пароле, но и об интересах человека и его привычках использования аккаунтов.

После смены паролей в аккаунтах, связанных с доменом mapexpert.com.ua, старые пароли, сохраненные в браузере, останутся доступны, их также следует удалить. Если вы используете менеджер паролей, найдите все записи с одинаковым паролем и задайте для каждой отдельный уникальный пароль. Особенно при хранении в открытом виде или использовании слабого хеша злоумышленник может попробовать применить пароль напрямую, без необходимости его угадывать.

Для команд безопасности эта запись указывает на необходимость сопоставления по доменам при отслеживании утекших учетных данных. Одного поиска по названию компании может быть недостаточно. Следует совместно проверять старые доменные имена, использование www, домен, на который сейчас настроено перенаправление, и домены адресов электронной почты пользователей. Так можно выявлять реальные риски и не объединять по ошибке записи с похожими названиями, которые не связаны между собой.

Названия категорий данных в этой записи намеренно просты: адреса электронной почты и пароли. Пользователям важно понимать, какие данные раскрыты, не погружаясь в технические подробности. При этом способ хранения паролей также указан, поскольку он определяет практические последствия инцидента. Указание на пароли в открытом виде объясняет, что речь идет не просто о списке адресов электронной почты и что инцидент следует оценивать с точки зрения безопасности аккаунтов.

Главный вывод для тех, кто ищет информацию об этом инциденте: даже одна запись об утечке дает повод пересмотреть всю историю безопасности своих аккаунтов. Пароли от старых сервисов часто забываются, но об утекших наборах данных не забывают. Поэтому в первую очередь стоит закрыть старые аккаунты, сделать пароли уникальными и защитить основной почтовый аккаунт.

Структура записи сохранена без лишних элементов: в поле сайта указано обычное доменное имя, изображение логотипа сопоставлено с записью, описание ограничено рамками инцидента, а риск повторного добавления снижен благодаря использованию единственной записи. Такое оформление важно, чтобы избежать некорректного отображения ссылок на публичной странице записи и не допустить появления одного и того же инцидента по разным URL.

Таким образом, утечка данных MapExpert в августе 2018 года, это инцидент безопасности аккаунтов, который следует рассматривать с учетом контекста: 10 967 записей, адреса электронной почты и пароли, хранившиеся в открытом виде. Эта страница подготовлена, чтобы пользователи могли быстро принять меры, без преувеличений относительно самого инцидента, неподтвержденных утверждений и дублирующих записей.