Предполагаемое раскрытие данных MarketsMojo

В исходных списках для MarketsMojo встречаются более высокие показатели и некоторые дополнительные поля данных. Однако при добавлении категорий данных был применён более осторожный подход. Наиболее убедительно подтверждаются адреса электронной почты, номера телефонов, имена пользователей и хеши паролей bcrypt. Такие поля, как физические адреса, не были добавлены в поле dataClasses этой записи, поскольку для них нет достаточно убедительного подтверждения. Этот подход выбран, чтобы не преувеличивать масштаб утечки при информировании пользователей.

Категории данных, поддающиеся проверке, включают адреса электронной почты, номера телефонов, имена пользователей и хеши паролей. Сообщается, что пароли хранились в виде хешей bcrypt. Bcrypt обеспечивает более надёжное хранение паролей по сравнению с быстрыми алгоритмами, такими как MD5 или SHA1; однако надёжность хеша не означает полного устранения риска. Слабые пароли, низкие значения параметра стоимости вычислений или повторное использование паролей могут облегчить задачу злоумышленника.

Наличие одновременно адреса электронной почты и номера телефона позволяет злоумышленникам связаться с пользователем как по электронной почте, так и через SMS. Имя пользователя может указывать на его учётную запись внутри платформы, а иногда представляет собой псевдоним, совпадающий с именем в других инвестиционных сервисах, социальных сетях или на форумах. С учётом назначения платформы финансовой аналитики злоумышленники могут готовить сообщения об инвестиционных рекомендациях, уведомлениях о портфеле, продлении подписки или проверке аккаунта.

На платформах для инвестиций и анализа рынка, таких как MarketsMojo, пользователи следят за информацией, чтобы принимать финансовые решения. Если злоумышленник знает, что пользователь связан с такой платформой, он может подготовить более убедительные мошеннические сообщения об инвестициях. В них могут использоваться такие темы, как поддельные уведомления об акциях, продление премиум-подписки, проверка портфеля, обновление приложения, проверка способа оплаты или привязка брокерского счёта.

В описание этой записи не включены сведения о банковских счетах, данные карт или содержимое портфелей, поскольку они не были подтверждены. Однако даже адрес электронной почты и номер телефона служат хорошей отправной точкой для финансового мошенничества. Поскольку пользователь действительно пользуется инвестиционной платформой, он может быстрее откликнуться на сообщения об инвестиционных возможностях или срочных рыночных событиях. Этот риск социальной инженерии придаёт записи большое значение.

Перед добавлением записи была проведена проверка на дубли среди существующих записей по названиям MarketsMojo, Markets Mojo, marketsmojo.com и связанным вариантам названия. Поскольку существующей отдельной записи обнаружено не было, эту запись сочли новой. Решение о её добавлении было принято потому, что в доступных списках одновременно фигурируют доменное имя, дата, март 2021 года, сотни тысяч пользовательских записей и категории данных, включающие адреса электронной почты, номера телефонов, имена пользователей и хеши паролей bcrypt.

Несмотря на это, не найдено исчерпывающего официального заявления оператора платформы, которое подтверждало бы все технические подробности, число записей и затронутые категории данных. Поэтому запись оставлена неподтверждённой. Дополнительные поля, упоминаемые в менее убедительных источниках, например физический адрес, не были включены в категории данных. В этой записи используются только поля с более убедительной доказательной базой, а неоднозначные сведения не представляются как достоверные.

Если пароль от аккаунта MarketsMojo использовался где-либо ещё, пользователю следует в первую очередь сменить этот пароль. Хеши Bcrypt не являются паролями в открытом виде; однако риск возрастает, если пользователь выбрал слабый пароль или тот же пароль фигурировал в других утечках. Приоритет следует отдать аккаунтам электронной почты, финансовых приложений, брокерских сервисов, интернет-магазинов, маркетплейсов и социальных сетей.

Поскольку номер телефона раскрыт, SMS-фишинг также представляет реальный риск. Злоумышленники могут отправлять сообщения о рыночных событиях, инвестиционных возможностях, проверке портфеля, очередном платеже или обновлениях безопасности приложения. Такие сообщения могут содержать короткие ссылки, поддельные страницы входа или ссылки для загрузки вредоносных приложений. Пользователям следует особенно осторожно относиться к сообщениям на финансовые темы.

• Замените пароль от аккаунта MarketsMojo на уникальный и надёжный.
• Смените пароли в финансовых сервисах, электронной почте и социальных сетях, где использовался тот же пароль.
• Включите двухэтапную проверку в финансовых приложениях.
• Не переходите напрямую по инвестиционным ссылкам, полученным через SMS или электронную почту.
• Проверяйте запросы на подтверждение брокерского или платёжного аккаунта в официальном приложении.
• Не сообщайте никому коды подтверждения, которые у вас запрашивают по телефону.
• Проверяйте инвестиционные рекомендации и сообщения о срочных рыночных возможностях по независимому источнику.

Bcrypt, медленный алгоритм, требующий значительных вычислительных ресурсов и предназначенный для хранения паролей. При правильной настройке он затрудняет получение исходного пароля из хеша. Однако не всякое применение bcrypt обеспечивает одинаковую надёжность. Если параметр стоимости вычислений низкий, пароль короткий или распространённый либо пользователь использовал тот же пароль в других утечках, злоумышленники всё равно могут получить преимущество.

Поэтому пользователям не следует считать упоминание bcrypt полной гарантией безопасности. Самый безопасный подход, исходить из того, что пароль мог быть взломан, и установить новый уникальный пароль. Если тот же пароль использовался в других финансовых аккаунтах или электронной почте, риск становится серьёзнее. Создание длинных случайных паролей с помощью менеджера паролей снижает этот риск.

Пользователи платформ финансовой аналитики могут быть привлекательной целью для мошенников. Когда злоумышленник знает об инвестиционных интересах пользователя, он может отправлять сообщения на такие темы, как поддельные рекомендации по акциям, эксклюзивные отчёты, премиальная аналитика, бесплатный пробный доступ, уведомления о портфеле или налоговые документы. При наличии номера телефона ту же кампанию можно проводить через SMS или мессенджеры.

Пользователям не следует принимать инвестиционные решения на основании ссылок в электронной почте или SMS. Не следует загружать приложения вне официального магазина приложений; для доступа к брокерским сервисам нужно использовать адреса, введённые вручную или сохранённые как доверенные, а запросы на оплату и подписку, проверять через официальную панель. Финансовые сообщения, создающие ощущение срочности, следует считать особенно подозрительными.

Финансово-технологическим платформам и сервисам инвестиционных исследований следует уделять внимание не только безопасности паролей, но и возможному злоупотреблению контактными данными. Если адреса электронной почты и номера телефонов хранятся вместе, необходимо внедрять контроль доступа, маскирование данных, ограничения на скачивание и мониторинг аномалий. Многофакторная аутентификация должна быть обязательной в административных панелях, экспорт клиентских данных должен фиксироваться в журналах, а ненужные поля не следует хранить длительное время.

При подозрении на утечку недостаточно просто предложить пользователю сменить пароль. Нужно ясно объяснить риски финансового мошенничества, SMS-фишинга, поддельных инвестиционных возможностей и ловушек под видом продления подписки. Если пользователь знает, какие атаки возможны, он сможет точнее оценивать входящие сообщения. В финансовом контексте стратегия информирования столь же важна, как и технические подробности.

Утечка данных MarketsMojo представлена в каталоге записью, связанной с платформой инвестиционных исследований marketsmojo.com. Согласно сообщениям, в марте 2021 года она затронула примерно 450 949 пользовательских записей. К категориям данных, которые, по сообщениям, были раскрыты, относятся адреса электронной почты, номера телефонов, имена пользователей и хеши паролей bcrypt. Эти сведения создают риски для безопасности аккаунтов, а также риски SMS-фишинга и финансового мошенничества.

Запись не отмечена как подтверждённая, поскольку официального подтверждения из первичного источника нет. Тем не менее доменное имя, дата, число записей и категории данных включены для информирования пользователей, поскольку эти сведения последовательно встречаются в общедоступных записях об утечках. Пользователям MarketsMojo следует сменить пароли, включить двухфакторную аутентификацию в финансовых аккаунтах, не переходить по инвестиционным ссылкам из SMS или электронной почты и никому не сообщать коды подтверждения.

Адреса электронной почты и номера телефонов, связанные с финансовыми платформами, со временем могут объединяться с другими наборами данных. Если пользователь использует один и тот же адрес электронной почты для брокера, банка, инвестиционного форума или рассылки, злоумышленник может составить более полный профиль его инвестиционных интересов. Этот профиль можно использовать для поддельных инвестиционных предложений или персонализированных мошеннических сообщений.

В долгосрочной перспективе пользователям следует использовать отдельные надёжные пароли для финансовых аккаунтов, по возможности выделить отдельный адрес электронной почты для финансовых уведомлений, применять многофакторную аутентификацию через приложение в дополнение к проверке по SMS и принимать инвестиционные решения только на основании проверенных источников. Старая запись об утечке по-прежнему может использоваться для новых попыток мошенничества, пока номер телефона и адрес электронной почты не изменились.

В некоторых списках для MarketsMojo могут встречаться дополнительные поля данных, например физические адреса; однако они не были включены в поле dataClasses, поскольку в подробных записях нет столь же однозначного подтверждения. Это решение принято не для того, чтобы преуменьшить последствия утечки, а чтобы не представлять пользователю неподтверждённый объём данных как достоверную информацию. Адрес электронной почты, номер телефона, имя пользователя и хеши паролей уже создают достаточный набор рисков, требующий мер безопасности.

В будущем запись можно обновить, если более убедительный источник подтвердит физические адреса или другие поля финансовых данных. Сейчас наиболее корректный подход, предупредить пользователя на основании основных полей, поддающихся проверке, и ясно объяснить риск социальной инженерии в финансовом контексте. Поэтому в описании особое внимание уделяется SMS-фишингу, поддельным инвестиционным уведомлениям, продлению подписок и ловушкам под видом проверки аккаунта.

Риски утечек, содержащих номера телефонов, не ограничиваются безопасностью электронной почты. Злоумышленник может позвонить пользователю, отправить сообщения или выдать себя за представителя инвестиционного приложения. Особую опасность представляют отправленные пользователю одноразовые коды, запросы на демонстрацию экрана и предложения удалённой технической поддержки. Поэтому пользователям MarketsMojo следует применять многофакторную аутентификацию через приложение в финансовых аккаунтах и не сообщать никому коды, полученные на телефон.