Утечка данных Mastercard Priceless Specials

Адреса электронной почты в записях Mastercard Priceless Specials могут использоваться для поддельных сообщений об акциях, бонусных баллах, безопасности карты или проверке аккаунта. Имена и формы обращения позволяют персонализировать такие сообщения. Пользователи, чьи номера телефонов указаны в записях, могут стать мишенью для поддельных уведомлений о карте по SMS или звонков от имени службы поддержки. IP-адреса не раскрывают точный домашний адрес, но могут дать ограниченные сведения о примерном регионе подключения пользователя или обстоятельствах сеанса.

Частичные данные кредитных карт, та часть этой записи, которая требует наиболее осторожного объяснения. Сами по себе эти сведения не следует считать достаточными для проведения платежа по карте: в подтверждённом списке нет срока действия карты или кода CVC. Тем не менее сочетание имени, номера телефона, адреса электронной почты и частичных данных карты повышает риск социальной инженерии. Мошенник может сослаться на часть данных карты или участие в программе акций, чтобы вызвать доверие пользователя.

Подтверждены следующие сведения: 89 388 затронутых аккаунтов, дата утечки (20 августа 2019 года, дата добавления записи) 1 сентября 2019 года, а также шесть типов данных: адреса электронной почты, IP-адреса, имена, частичные данные кредитных карт, номера телефонов и формы обращения. Запись связана с программой Mastercard Priceless Specials в Германии. По имеющимся сведениям, после инцидента программу приостановили, а доступ к связанному с ней домену, по-видимому, больше не работает стабильно.

Эту запись не следует описывать как утечку паролей, банковских счетов, кодов CVC или сроков действия карт. Частичные данные карт несут финансовый риск, но не подразумевают наличия всех данных для авторизации платежа. Хотя в некоторых новостях упоминается более широкий набор полей, видимый пользователю на этой странице список категорий данных должен ограничиваться сведениями из подтверждённых записей в результатах запросов. Основные риски, о которых следует сообщить пользователю, фишинг, телефонное мошенничество, выдача себя за сотрудника службы поддержки держателей карт, сопоставление профилей и утрата конфиденциальности.

Наибольшему риску подвержены пользователи, которые указали в программе Priceless Specials те же адрес электронной почты и номер телефона, что и в аккаунтах банков, карточных сервисов, магазинов или программ вознаграждений. Мошенники могут от имени Mastercard или банка, выпустившего карту, рассылать поддельные сообщения о баллах за участие в акциях, проверках безопасности карты, подозрительных операциях или проверке аккаунта. Имена и формы обращения помогают придать этим сообщениям вид настоящих обращений к клиенту.

Пользователям, чьи частичные данные карты присутствуют в записи, также следует внимательнее оценивать любые обращения от эмитента карты. Даже если утекшие сведения не содержат полных данных карты, их могут использовать, чтобы вызвать доверие во время телефонного разговора. Риск целевых сообщений также повышается для пользователей, у которых в записи указаны IP-адрес и адрес электронной почты. Поэтому электронные письма, сообщения на телефон и звонки службы поддержки по вопросам карты следует проверять по отдельности.

Если вы обнаружили совпадение в этой записи, сначала определите, какой ваш адрес электронной почты затронут и какая карта привязана к участию в Mastercard Priceless Specials. Проверьте операции по карте и уведомления о безопасности от её эмитента. Если вы заметили незнакомую операцию, неожиданное изменение лимита, подозрительный запрос на проверку карты или сообщение от программы вознаграждений, начните отдельный сеанс через официальный канал эмитента карты. Не переходите по ссылкам непосредственно из сообщения.

Не сообщайте полный номер карты, код CVC, одноразовый код подтверждения или данные для онлайн-банкинга во время телефонных разговоров. Включите двухэтапную проверку в аккаунте электронной почты и проверьте способы восстановления доступа. В сообщениях об акциях, возврате средств, бонусных баллах и проверках безопасности, поступающих от имени Priceless Specials или Mastercard, внимательно изучайте домен отправителя и то, какие сведения у вас запрашивают. Не считайте сообщение подлинным только потому, что часть содержащихся в нём сведений верна.

Для долгосрочной защиты следует выработать отдельные правила безопасности для финансовых программ лояльности, торговых акций и карточных аккаунтов. Основной адрес электронной почты, используемый для важных банковских операций и операций по картам, нужно надёжно защитить; для участия в акциях и программах вознаграждений можно выбрать отдельный адрес. Уведомления об операциях, лимиты расходов и оповещения о подозрительных операциях от эмитента карты следует оставлять включёнными. Регулярный пересмотр списка программ, которым вы предоставили свой номер телефона, также снижает риск фишинга через SMS.

Не следует забывать о старых аккаунтах в программах лояльности. Неиспользуемые аккаунты стоит закрыть, а в действующих, сократить объём излишних персональных сведений. Частичные данные карт, номера телефонов и адреса электронной почты могут использоваться для мошеннических обращений от имени службы поддержки даже спустя годы. Поэтому старые утечки, такие как Mastercard Priceless Specials, не следует считать поводом лишь для разовой проверки: контроль операций по карте, защита электронной почты и бдительность в отношении телефонного мошенничества должны стать постоянной практикой.

Если вы обнаружили совпадение в утечке Mastercard Priceless Specials, сначала отметьте затронутые адрес электронной почты, номер телефона и карту, связанную с участием в этой программе. Затем проверьте историю операций, предупреждения о безопасности и уведомления по карте через официальный канал её эмитента. Усильте настройки безопасности аккаунта электронной почты, завершите незнакомые сеансы и обновите способы восстановления доступа. Учитывая риск социальной инженерии, не сообщайте сведения сразу же во время звонка с запросом данных карты.

Эту запись не следует считать утечкой паролей или полных платёжных данных карты: подтверждённый риск связан с сочетанием адреса электронной почты, IP-адреса, имени, формы обращения, номера телефона и частичных данных карты. Хотя утечка произошла в 2019 году, эти сведения и сегодня могут использоваться в поддельных сообщениях об акциях, безопасности карт и программах вознаграждений. Наиболее разумные действия, следить за операциями по карте, надёжно защитить аккаунт электронной почты и отдельно проверять через официальные каналы любые запросы персональных сведений, поступающие от имени Mastercard или банка.