Утечка данных MC2 Data

В этой записи представлены адреса электронной почты, имена и пароли. По результатам оценки пароли хранятся в виде хешей SHA-256 с солью; для слабых или повторно используемых паролей риск сохраняется. Неподтверждённые сведения о платёжных картах, банковских счетах, личных сообщениях, официальных удостоверениях личности, медицинских записях и дополнительных полях профиля не включались в список категорий данных; оставили только поля, наличие которых подтверждено.

Контекст сервиса проверки биографических сведений может облегчить злоумышленникам отправку пользователю сообщений, похожих на официальные запросы, проверки личности или уведомления о подписке. Даже один адрес электронной почты создаёт риск нежелательных сообщений; в сочетании с номером телефона, адресом, IP, датой рождения, фотографией, номером удостоверения личности или данными отслеживания устройства он упрощает подготовку персонализированных сообщений для пользователя. Поэтому риск оценивается не только по количеству записей, но и по тому, насколько удобно использовать эти данные в совокупности.

По состоянию на август 2024 года подтверждённый объём составлял 2,12 миллиона записей о подписчиках. Подтверждённые сведения сохранили, а неподтверждённые исключили. Инцидент не объединяли с другими брендами, записями с похожими названиями или событиями, произошедшими в той же компании в другие периоды.

Заявления о более широком составе персональных данных не включали в канонические категории данных этой записи; её ограничили полями электронной почты, имени и пароля подписчиков. Такой подход предотвращает дублирование записей об утечках и неверное указание пользователю организации, несущей ответственность. Доменное имя, название компании и отраслевые сведения указывались в максимально узком, но точном контексте; при наличии неопределённости значение отметки о подтверждении или поля сайта задавали с учётом этой неопределённости.

К группам риска могут относиться владельцы аккаунтов с подпиской в сервисах MC2 Data или связанных брендов. Пользователям, для которых найдено совпадение, следует также оценить другие аккаунты, где они используют тот же адрес электронной почты, номер телефона, имя пользователя или шаблон пароля.

Попытки захвата аккаунтов представляют более серьёзную угрозу для тех, кто использует тот же пароль в других рабочих, финансовых или почтовых аккаунтах. Если речь идёт о корпоративной почте, детском или семейном аккаунте, общедоступной записи, игровой учётной записи, сообществе по вопросам грамотности, программном обеспечении для отслеживания или профессиональном сервисе, риск социальной инженерии может возрастать. Пользователям не следует считать достоверно выглядящие сведения о себе основанием для доверия.

Затронутым пользователям следует сменить пароль в аккаунтах, связанных с MC2 Data, и во всех аккаунтах, где используется тот же пароль. Если запись содержит поле пароля, пароль нужно изменить во всех аккаунтах, где он совпадает; если поля пароля нет, основное внимание следует уделить рискам, связанным с телефоном, электронной почтой, поддельными уведомлениями и сопоставлением данных для установления личности.

Вместо перехода по ссылкам из сообщения следует вручную ввести адрес соответствующего сервиса или воспользоваться сохранённой записью в надёжном менеджере паролей. Сообщения о доставке, поддержке, игровых наградах, предупреждениях об аккаунте, общедоступных записях, уведомлениях безопасности, обмене документами или продлении подписки нельзя принимать на веру без проверки через независимый канал.

Для сервисов посредничества в сфере данных и проверки биографических сведений следует использовать отдельный адрес электронной почты, уникальный пароль и минимальный набор сведений в профиле. Пользователям следует регулярно удалять старые аккаунты, ненужные поля профиля, дублирующиеся имена пользователей и устаревшие сведения о телефоне и адресе. Базовым правилом должны быть уникальный пароль для каждого сервиса и двухфакторная аутентификация везде, где она доступна.

Поставщикам услуг необходимы минимизация данных, надёжная защита паролей, мониторинг журналов доступа, удаление ненужных полей и готовые процедуры уведомления пользователей. Для компаний, посредников в сфере данных контроль доступа и выявление сервисов, доступных без пароля, относятся к базовым требованиям безопасности. Точное описание объёма утечки также является частью работы по обеспечению безопасности; преувеличенная или неполная информация может подтолкнуть пользователя к неверным действиям.

Сначала пользователю следует проверить, есть ли в этой записи его адрес электронной почты. Если найдено совпадение, следует исходить из того, что поля имени и пароля могут быть под угрозой, и в первую очередь сменить пароли в аккаунтах, где используется тот же пароль. Отсутствие совпадения не исключает полностью использование других адресов электронной почты или повторное использование старых паролей; важные аккаунты также следует проверить.

Эта запись проверена и сохранила отметку о чувствительности; неподтверждённые сведения о расширенном наборе персональных данных не добавлялись. При таком оформлении поля данных оставили в виде канонических категорий на английском языке, видимое пользователю описание написали на турецком языке как оригинальный текст, неподтверждённые поля не добавляли, а отметку о чувствительности использовали только там, где её обосновывал контекст риска.