Утечка данных Market Moveis

В этой записи представлены адреса электронной почты и имена. Наличие полей с паролями, телефонами, адресами или данными платёжных карт не было подтверждено. Неподтверждённые поля с данными платёжных карт, банковских счетов, личными сообщениями, данными официальных удостоверений личности, медицинскими записями или дополнительными сведениями профиля не были добавлены в список категорий данных; в нём оставлены только поля, наличие которых подтверждено.

Связку имени и адреса электронной почты можно использовать в поддельных сообщениях об акциях, уведомлениях о заказах или обращениях от службы поддержки. Сам по себе адрес электронной почты создаёт риск спама; в сочетании с номером телефона, адресом, IP, датой рождения, фотографией, номером удостоверения личности или данными отслеживания устройств он облегчает злоумышленнику создание персонализированных сообщений. Поэтому риск оценивается не только по количеству записей, но и по возможности объединить данные.

Объём был подтверждён записью за август 2023 года, в которой указано 28 220 записей. Подтверждённые поля были сохранены, а неподтверждённые исключены. Этот инцидент не объединяли с инцидентами других брендов, записями с похожими названиями или инцидентами той же компании за другие периоды.

Инцидент был ограничен доменом marketmoveis.pt, а дополнительные клиентские домены не добавлялись в категорию данных. Такой подход предотвращает добавление дублирующих утечек и не позволяет ошибочно указывать пользователю, какая организация несёт ответственность. Домен, название компании и сведения об отрасли были сохранены в максимально узком и точном контексте; при наличии неопределённости отметка о подтверждении или домен сайта указывались с её учётом.

В зоне риска могут находиться клиенты, которые создали аккаунт на сайте Market Moveis, просматривали товары или отправляли контактную форму. Пользователям, для которых найдено совпадение, следует проверить не только соответствующий аккаунт, но и другие аккаунты, где используются тот же адрес электронной почты, номер телефона, имя пользователя или схема составления пароля.

Сообщения на тему обустройства дома или заказов могут использоваться, чтобы побудить пользователя перейти по поддельным ссылкам. Риск социальной инженерии может увеличиваться, если контекст связан с корпоративной почтой, детским или семейным аккаунтом, общедоступными записями, игровой учётной записью, сообществом по развитию грамотности, программами мониторинга или профессиональными услугами. Пользователям не следует считать правдоподобные сведения о себе признаком того, что отправителю можно доверять.

Пострадавшим пользователям следует проверять сообщения об акциях, заказах или обновлении аккаунта, полученные от имени Market Moveis, через официальный сайт. Если в аккаунте есть поле пароля, следует сменить пароль во всех аккаунтах, где используется тот же пароль; если поля пароля нет, основное внимание следует уделить рискам, связанным с телефоном, электронной почтой, поддельными уведомлениями и сопоставлением данных для установления личности.

Вместо перехода по ссылкам в сообщении следует вручную ввести адрес соответствующего сервиса или воспользоваться записью в доверенном менеджере паролей. Не следует доверять сообщениям о доставке грузов, поддержке, игровых наградах, предупреждениях об аккаунте, общедоступных записях, уведомлениях безопасности, обмене документами или продлении подписки без проверки через независимый канал.

В аккаунтах розничных магазинов следует сократить число разрешений на маркетинговые сообщения и предоставлять только необходимые контактные данные. Пользователям следует регулярно удалять старые аккаунты, ненужные поля профиля, дублирующиеся имена пользователей и устаревшие сведения о телефонах и адресах. Базовым правилом должны стать уникальный пароль для каждого сервиса и двухэтапная проверка там, где она доступна.

Со стороны поставщиков услуг необходимы минимизация собираемых данных, надёжная защита паролей, мониторинг журналов доступа, удаление ненужных полей и готовые процедуры уведомления пользователей. Даже таких ограниченных данных, как имя и адрес электронной почты, может быть достаточно для поддельных сообщений, в которых злоумышленники выдают себя за представителей бренда. Точное описание масштаба инцидента, тоже часть работы по обеспечению безопасности: преувеличенная или неполная информация может привести пользователя к неверным действиям.

Пользователю следует сначала проверить эту запись по адресу электронной почты. Если найдено совпадение, следует исходить из того, что имя и адрес электронной почты могут использоваться в адресных сообщениях, и вручную проверять ссылки на магазин. Отсутствие совпадения не исключает полностью использования другого адреса электронной почты или повторного использования старого пароля; важные аккаунты также следует проверить.

Эта запись сохранила статус подтверждённой; флаг чувствительности и дополнительные поля данных не были добавлены, поскольку для них не было подтверждения. В рамках этой редакции поля данных были оставлены в виде канонических категорий на английском языке, видимое пользователю описание было написано на турецком языке как оригинальный текст, неподтверждённые поля не добавлялись, а флаг чувствительности использовался только тогда, когда это было обосновано характером риска.