Master Deeds Утечка данных

В этой записи представлены даты рождения, сведения о смерти, адреса электронной почты, работодатели, этническое происхождение, пол, официальные идентификационные номера, сведения о владении жильём, должности, имена, гражданство, номера телефонов и физические адреса. Поскольку поля с паролями нет, захват аккаунтов не вызывает опасений, однако существенны риски неправомерного использования идентификационных данных и сведений из личного профиля. В список категорий данных не добавляли неподтверждённые сведения о платёжных картах, банковских счетах, личных сообщениях, официальных удостоверениях личности, медицинских записях или дополнительные поля профиля. Были сохранены только подтверждённые поля.

Официальные идентификационные данные и адреса могут использоваться для мошенничества, подачи поддельных заявлений, обхода этапов проверки личности и составления персонализированных сообщений с угрозами. Сам по себе адрес электронной почты создаёт риск нежелательных сообщений. В сочетании с номером телефона, адресом, IP, датой рождения, фотографией, идентификационным номером или данными отслеживания устройства он облегчает злоумышленнику создание сообщений, персонализированных для конкретного пользователя. Поэтому при оценке риска учитывается не только количество записей, но и возможность использовать данные в совокупности.

Объём был подтверждён на основании набора данных за март 2017 года и 2,25 миллиона адресов электронной почты. Подтверждённые поля были сохранены, а неподтверждённые, исключены. Инцидент не объединяли с утечками других брендов, записями с похожими названиями или событиями, произошедшими в той же компании в другие периоды.

Поскольку ответственная организация не была однозначно установлена, поля домена и сайта остались пустыми, а описание ограничили контекстом идентификационных данных жителей Южной Африки. Такой подход предотвращает добавление дублирующих записей об утечках и показывает пользователю неверную информацию об ответственности организации. Доменное имя, название компании и сведения об отрасли указывались в максимально узком контексте, достоверность которого можно было установить. При наличии неопределённости соответствующим образом задавались флаг подтверждения или поле сайта.

К группам риска могут относиться люди, проживающие в Южной Африке или указанные в прежних публичных реестрах, родственники умерших и граждане, сведения о которых есть в реестрах недвижимости. Пользователям, чьи данные совпали с этой записью, следует также оценить состояние других аккаунтов, в которых они используют тот же адрес электронной почты, номер телефона, имя пользователя или схему создания паролей.

Сведения о смерти человека и его семье могут сделать более убедительными мошеннические обращения, связанные с наследством, недвижимостью, страхованием или официальными процедурами. Риск социальной инженерии может возрастать, если данные связаны с корпоративной почтой, детским или семейным аккаунтом, публичным реестром, игровой учётной записью, сообществом по обучению грамоте, программным обеспечением для мониторинга или профессиональным сервисом. Пользователям не следует считать верные на вид сведения о себе основанием для доверия.

Пострадавшим пользователям следует через независимую организацию проверять запросы, связанные с официальными операциями, долгами, недвижимостью или наследством, если они поступают от лиц, знающих их идентификационные данные и адрес. Если в записи есть поле с паролем, следует сменить пароль во всех аккаунтах, где он используется. Если такого поля нет, основное внимание нужно уделить рискам, связанным с телефоном, электронной почтой, поддельными уведомлениями и сопоставлением идентификационных данных.

Вместо перехода по ссылкам из сообщения следует вручную ввести адрес соответствующего сервиса или воспользоваться сохранённой записью в надёжном менеджере паролей. Сообщения о доставке грузов, поддержке, игровых наградах, предупреждениях об аккаунте, публичных реестрах, уведомлениях безопасности, обмене документами или продлении подписки не следует принимать на веру без проверки через независимый канал.

Для данных, содержащих сведения из публичных реестров, в долгосрочной перспективе важно отслеживать признаки кражи личности, проверять операции, связанные с кредитами, и регулярно контролировать подачу официальных заявлений. Пользователям следует регулярно удалять старые аккаунты, ненужные поля профиля и дублирующиеся имена пользователей, а также убирать устаревшие номера телефонов и адреса. Базовым правилом должны стать уникальный пароль для каждого сервиса и двухэтапная проверка везде, где она доступна.

Со стороны поставщиков услуг необходимы минимизация собираемых данных, надёжная защита паролей, контроль журналов доступа, удаление ненужных полей и заранее подготовленные процедуры уведомления пользователей. Для крупных наборов данных, подобных публичным реестрам, критически важны контроль доступа, безопасность резервных копий и аудит открытых веб-каталогов. Точное описание объёма утечки также является частью работы по обеспечению безопасности: преувеличенная или неполная информация может подтолкнуть пользователя к неверным действиям.

Прежде всего пользователю следует проверить свой адрес электронной почты по этой записи. При обнаружении совпадения нужно учитывать, что официальные идентификационные данные, адрес, номер телефона и сведения о работодателе могут находиться под угрозой, и проявлять особую осторожность при проверке личности. Отсутствие совпадения не исключает полностью использование других адресов электронной почты или повторное использование старых паролей. Важнейшие аккаунты также следует проверить.

Эта запись была подтверждена и сохранила отметку о чувствительных данных; её не представляли как утечку данных аккаунтов конкретного бренда. При таком оформлении поля данных были оставлены в виде канонических категорий на английском языке, а видимое пользователю описание было написано на турецком языке как оригинальный текст. Неподтверждённые поля не добавляли, а отметку о чувствительных данных использовали только тогда, когда её обосновывал характер риска.