Утечка данных MeetMindful в 2020 году

Подтверждённые в этой записи категории данных охватывают широкий круг сведений, раскрытие которых серьёзно влияет на конфиденциальность. Когда адрес электронной почты, полное имя, имя пользователя, IP-адрес и сведения о географическом местоположении оказываются вместе, анкету человека на сервисе знакомств можно связать с его реальной личностью. Дата рождения и пол дают дополнительную информацию для сопоставления профилей и адресных попыток фишинга. Семейное положение, религиозные убеждения, сексуальная ориентация, особенности внешности и предпочтения в образе жизни создают серьёзные риски не только для безопасности, но и для конфиденциальности и репутации.

Хранение паролей в виде хешей bcrypt, положительный момент, но это не означает, что пользователям не нужно принимать меры. Слабые пароли, пароли, используемые повторно, и пароли, попавшие в другие утечки, по-прежнему могут использоваться при попытках входа. Ссылки на профили в социальных сетях могут использоваться для перехода к другим аккаунтам человека, изучения его круга общения или подготовки более убедительных сообщений. Поэтому запись об аккаунте MeetMindful следует рассматривать не как обычную утечку сведений о регистрации, а как утечку конфиденциальных данных, которая одновременно затрагивает приватность анкеты на сервисе знакомств и безопасность аккаунтов.

Подтверждённый охват следует оценивать с учётом доменного имени MeetMindful, даты утечки (26 января 2020 года, даты добавления записи) 31 января 2021 года и числа затронутых аккаунтов: 1 422 717. Независимые записи и надёжные новостные источники подтверждают, что инцидент связан с сервисом онлайн-знакомств, пароли хранились в виде хешей bcrypt, а поля анкет содержали широкий набор конфиденциальных данных. Поэтому сферу деятельности организации следует определять не как розничную торговлю, а как онлайн-знакомства и сообщество людей, стремящихся к осознанному образу жизни. Поскольку надёжные справочники компаний указывают на связь компании с Денвером, штат Колорадо, в поле страны можно оставить США.

Эту запись нельзя представлять так, будто она содержит данные платёжных карт, банковских счетов, содержимое личных сообщений или сведения из документов, удостоверяющих личность. Хотя в некоторых сообщениях упоминается большее число исходных записей или сведений из анкет, при проверках безопасности аккаунтов учитывается число подтверждённых уникальных аккаунтов или адресов электронной почты. Это важное различие: риск, о котором сообщают пользователю, должен определяться на основе подтверждённых категорий данных и совпадений аккаунтов, доступных для проверки. Неподтверждённый способ атаки, личность злоумышленника или техническую причину нельзя описывать как неотъемлемую часть инцидента.

Наибольшему риску подвержены пользователи, которые используют адрес электронной почты и пароль от аккаунта MeetMindful в других аккаунтах. Им следует также проверить свою электронную почту, аккаунты в социальных сетях, на других сервисах знакомств, в облачных сервисах и в сервисах, связанных с платежами. Риск сопоставления профилей выше у тех, кто вместе с анкетой на сервисе знакомств использует настоящее имя, сведения о городе, ссылки на социальные сети или информацию профиля, связанную с фотографиями. Раскрытые конфиденциальные предпочтения из анкеты могут использоваться для адресной травли, социального давления, попыток шантажа или сообщений, призванных поставить человека в неловкое положение.

Для пользователей, зарегистрировавшихся с рабочим адресом электронной почты, возникают дополнительные риски: личную анкету на сервисе знакомств можно связать с их профессиональной деятельностью. Осторожность нужна и тем, кто входит в аккаунт с общих устройств, долго не меняет старый пароль или привязывает аккаунт в социальной сети. Сведения о местоположении и IP сами по себе не позволяют установить точный адрес, но в сочетании с полным именем, городом и подробностями анкеты могут облегчить идентификацию человека. Поэтому при оценке риска следует учитывать не только возможность захвата аккаунта, но и последствия для конфиденциальности и риск адресной социальной инженерии.

Если при проверке найдено совпадение с записью MeetMindful, сначала следует сменить пароль этого аккаунта и всех других аккаунтов, в которых использовался тот же пароль. Новый пароль должен быть уникальным, храниться в менеджере паролей и не использоваться ни в одном другом сервисе. В первую очередь нужно защитить электронную почту, поскольку ссылки для сброса пароля, предупреждения безопасности и уведомления о входе обычно приходят в один и тот же почтовый ящик. В почтовом аккаунте следует включить двухфакторную аутентификацию, проверить адреса для восстановления доступа и завершить неизвестные сеансы.

Второй шаг, проверить аккаунты в социальных сетях и похожие имена пользователей, связанные с анкетой на сервисе знакомств. Предупреждения безопасности от незнакомых людей, запросы на подтверждение профиля, просьбы прислать фотографии или деньги, а также сообщения с просьбой предоставить личную информацию следует считать подозрительными. Вместо перехода по ссылкам в сообщениях нужно открывать соответствующий сервис напрямую. Если вы получаете угрозы с упоминанием таких конфиденциальных сведений, как сексуальная ориентация, религиозные убеждения, употребление психоактивных веществ или предпочтения в отношениях, сохраните доказательства, ничего не удаляя, и без промедления примите меры для защиты аккаунтов.

Этот инцидент показывает, что сведения, которыми пользователи делятся в профилях на сервисах знакомств и поиска новых социальных контактов, могут влиять на безопасность даже спустя годы. Пользователям следует регулярно сокращать объём личных сведений в анкетах, ограничивать доступность ссылок на социальные сети и избегать использования одного имени пользователя в нескольких аккаунтах. Менеджер паролей упрощает создание отдельного пароля для каждого аккаунта. Двухфакторную аутентификацию следует считать стандартной мерой безопасности, особенно для электронной почты, социальных сетей и сервисов знакомств.

Для поставщиков услуг главный вывод состоит в том, что личные сведения в анкетах на сервисах знакомств нельзя рассматривать как обычные маркетинговые данные. Их следует считать как минимум столь же конфиденциальными, как и учётные данные для входа. Необходимо ограничивать права доступа, не хранить ненужные данные, регулярно удалять устаревшие сведения из полей анкет и предоставлять пользователям понятные способы удаления данных. Даже при надёжном методе хеширования паролей после утечки нужно без промедления уведомить пользователей, обеспечить смену паролей, завершить сеансы и наладить отслеживание подозрительного доступа. Прозрачное уведомление и принцип минимизации данных, базовые требования безопасности для сервисов, содержащих личные сведения.

Если на LeakData вы видите совпадение с записью MeetMindful, рассматривайте его как утечку конфиденциальных данных анкет на сервисе знакомств, произошедшую в 2020 году. Совпадение не означает, что ваш аккаунт взломан и находится под чужим контролем сегодня. Однако эта запись может содержать ваш адрес электронной почты, поля анкеты, имя пользователя, сведения об IP и местоположении, а также хеш пароля bcrypt. В первую очередь нужно установить разные пароли для всех аккаунтов, где использовался один и тот же пароль, усилить защиту электронной почты и проверить связи с социальными сетями.

В случае этой записи одной смены пароля недостаточно. Следует также учитывать конфиденциальность анкеты, возможность её сопоставления с профилями в социальных сетях и потенциальное злоупотребление сведениями о личных предпочтениях. Закройте старые анкеты на сервисах знакомств или сократите объём данных в них; проверьте видимую информацию в аккаунтах, где вы используете то же имя пользователя. Эта запись важна и для организаций: следует регулярно проводить проверки, предотвращающие повторное использование сотрудниками паролей от личных аккаунтов в рабочих аккаунтах, и применять политики двухфакторной аутентификации.