Утечка данных Mappery

Адреса электронной почты, присутствующие в записях Mappery, могут использоваться для поддельных оповещений об аккаунте, уведомлений о скачивании карт и адресных фишинговых сообщений. Имена пользователей могут помочь связать профили между собой, если тот же псевдоним используется на других сайтах. Поле географического местоположения может указывать на места, которыми интересуется пользователь, или на регион, связанный с его аккаунтом. Само по себе это не означает раскрытия полного адреса, но в сочетании с другими полями повышает риск для конфиденциальности.

Хеши паролей, наиболее критичная с технической точки зрения часть записи. По современным стандартам безопасности SHA-1 без добавления соли считается слабым способом хранения. Злоумышленники могут пытаться подобрать пароли офлайн, особенно если они короткие, содержат словарные слова или ранее встречались в других утечках. Если тот же пароль используется в других аккаунтах, утечка Mappery может дать возможность предпринять попытки входа в почту, на форумы, в картографические сервисы, социальные сети или рабочие аккаунты. Поэтому риск не следует считать ограниченным только аккаунтом Mappery.

Подтверждённые сведения включают 205 242 уникальных адреса электронной почты, дату утечки (11 декабря 2018 года, дату добавления записи) 18 декабря 2018 года, а также четыре типа данных: адреса электронной почты, географические местоположения, пароли и имена пользователей. Запись относится к сайту для обмена картами. Номер телефона, физический адрес, данные платёжной карты, банковского счёта, официального удостоверения личности, настоящее имя или содержимое личных сообщений не указаны в этой записи как подтверждённые поля.

В отношении поля пароля важно чётко обозначить ограничения. Подтверждено наличие хеша пароля SHA-1 без добавления соли, поэтому нельзя утверждать, что все пароли представлены в читаемом виде. Тем не менее из-за слабости SHA-1 без соли повторно используемые пароли несут высокий риск. При информировании пользователя об основных рисках следует уделять внимание возможной компрометации аккаунтов, повторному использованию паролей, сопоставлению профилей по географическим данным, фишингу и нарушению конфиденциальности.

Наибольшему риску подвергаются пользователи, которые используют пароль от аккаунта Mappery и в других сервисах. Риск сопоставления профилей повышается у тех, кто регистрируется в картографических сообществах, на форумах, в социальных сетях, а также создаёт рабочие или почтовые аккаунты с тем же адресом электронной почты и именем пользователя. Если в аккаунте есть сведения о географическом местоположении, поддельные сообщения о конкретном регионе, маршруте, карте или месте могут выглядеть для пользователя более убедительно.

Пользователям, которые делятся картами или известны благодаря старым публикациям о местоположениях, также следует внимательно относиться к конфиденциальности. Сведения о географических районах нельзя приравнивать к полному адресу, но они могут дать представление о прежних интересах или обстоятельствах перемещений. В сочетании с именем пользователя и электронной почтой эти данные помогают злоумышленникам составлять более персонализированные сообщения. Поэтому стоит проверить не только пароли, но и картографические профили, а также общедоступные сведения о пользователе.

Если вы обнаружили совпадение в записи Mappery, первым делом замените пароль этого аккаунта и всех других аккаунтов с тем же паролем на уникальные. В первую очередь следует проверить почту, социальные сети, форумы, картографические сервисы и сервисы, связанные с платежами. Менеджер паролей помогает создавать длинные случайные пароли для каждого сервиса и снижает риск повторного использования. Также следует проверить, нет ли в аккаунтах неизвестных сеансов, новых адресов для восстановления доступа или неожиданных уведомлений о безопасности.

В аккаунтах, поддерживающих двухфакторную аутентификацию, следует включить эту защиту. Особенно важно надёжно защитить почту, поскольку сброс пароля во многих сервисах выполняется через электронную почту. Не переходите напрямую по ссылкам из сообщений, отправленных от имени Mappery или сервиса для обмена картами: для проверки аккаунта самостоятельно откройте сайт по его доменному имени. Не отвечайте на сообщения, в которых запрашивают ваш пароль, код восстановления или дополнительные сведения для обеспечения безопасности.

Для долгосрочной защиты следует отделить аккаунты в картографических сервисах, сервисах для хобби и сообществах от критически важных аккаунтов. Основной адрес электронной почты стоит использовать только для важных сервисов, а для сообществ и аккаунтов, связанных с местоположениями, можно выбрать отдельный адрес. Если не использовать одно и то же имя пользователя на всех платформах, связать разные профили между собой будет сложнее. Менеджер паролей позволяет легко находить ранее повторно использованные пароли и создавать надёжные пароли для каждого аккаунта.

Старые карты и профили в сообществах следует регулярно пересматривать. Неиспользуемые аккаунты стоит закрыть, ненужные персональные сведения не следует хранить в активных аккаунтах, а общедоступные материалы о местоположениях нужно тщательно отбирать. Поскольку географическое местоположение, имя пользователя и адрес электронной почты могут использоваться для сопоставления профилей даже спустя годы, последствия старых утечек не исчезают полностью. Поэтому работа с такими записями, как Mappery, должна сопровождаться постоянным соблюдением правил безопасности аккаунтов.

Если вы обнаружили совпадение в данных утечки Mappery, сначала составьте список аккаунтов, для регистрации которых вы использовали адрес электронной почты, попавший в утечку. Затем определите, в каких сервисах используется тот же или похожий пароль, и замените пароли, начиная с наиболее важных аккаунтов. Если вы используете своё имя пользователя на других платформах, оцените, создаёт ли связывание этих профилей риск для конфиденциальности. Завершите старые сеансы, обновите способы восстановления доступа и оставьте оповещения о безопасности включёнными.

Эту запись не следует рассматривать как утечку номеров телефонов, физических адресов или данных платёжных карт: подтверждённый риск связан с сочетанием адреса электронной почты, географического местоположения, имени пользователя и хеша пароля. Хотя утечка Mappery произошла в 2018 году, риск может сохраняться и сегодня, если один и тот же пароль повторно используется годами. Лучше всего сделать пароли уникальными, надёжно защитить почту и с осторожностью относиться к поддельным сообщениям о картах или от службы поддержки аккаунтов.