Предполагаемое раскрытие данных MemoryBreak

Перед созданием записи MemoryBreak существующие записи проверили на совпадения по названию, доменному имени, похожему названию бренда, дате инцидента и количеству записей. Поскольку записи о том же инциденте не обнаружили, её сохранили как отдельную. Записи с похожими названиями, но другими доменами или относящиеся к другим инцидентам, при принятии этого решения не учитывали.

Количество записей в рассматриваемых списках может отличаться от количества сведений, которые удаётся подтвердить. Причиной могут быть различия в подсчёте исходных строк, уникальных аккаунтов, повторяющихся адресов электронной почты, очищенных записей, строк форумов, строк профилей или заново скомпонованных наборов данных. На этой странице за основу взято значение 40 288, которое последовательно подтверждается вместе с типами данных, а не наибольшее из указанных чисел.

MemoryBreak, платформа, рассматриваемая в контексте инструмента автоматизации игр из Турции. Адреса электронной почты и имена пользователей, используемые в игровых инструментах, могут позволить связать одного и того же игрока с его аккаунтами на других форумах или игровых сервисах.

В этом инциденте были скомпрометированы имена пользователей, адреса электронной почты и MD5-хеши паролей. Поскольку MD5-хеши можно быстро взломать, слабые или повторно используемые пароли могут использоваться для попыток входа в другие игровые аккаунты и аккаунты социальных сетей.

Риск в инциденте MemoryBreak выше, чем при обычной утечке адресов электронной почты, поскольку был обнаружен пароль в виде MD5-хеша. Данные о паролях сокращают время, необходимое злоумышленникам для перебора вариантов, упрощают автоматические попытки входа в другие сервисы, где используется тот же пароль, и делают сообщения о сбросе пароля более убедительными.

Сам по себе адрес электронной почты может казаться незначительным объёмом персональных данных. Однако в сочетании с именем пользователя, IP-адресом, номером телефона, полным именем, датой рождения или сведениями о пароле он становится ценным исходным материалом для атак. Если пользователь применяет один и тот же адрес электронной почты для рабочих аккаунтов, покупок, форумов, игр, финансовых сервисов или социальных сетей, последствия могут выйти за пределы соответствующей платформы.

Хотя этот инцидент произошёл в прошлом, он по-прежнему важен с точки зрения безопасности. Значительная часть пользователей повторно использует старые шаблоны паролей с небольшими изменениями. Поэтому давняя утечка, подобная MemoryBreak, может и спустя годы использоваться для подбора паролей, автоматической подстановки скомпрометированных учётных данных и попыток целевого фишинга.

Первый шаг для пользователей, вспомнить, какой адрес электронной почты и пароль они могли раньше использовать на MemoryBreak или memorybreak.com. Если в других аккаунтах использовался тот же пароль или его похожие варианты, недостаточно сменить пароль только на соответствующем сайте: все повторно используемые пароли следует заменить уникальными и случайными.

Использование менеджера паролей, одна из наиболее эффективных мер после такого инцидента. Отдельный пароль для каждого сайта не позволяет одной утечке вызвать цепочку взломов других аккаунтов. Следует также проверить старые пароли, сохранённые в браузере, и заменить слабые или повторяющиеся.

Двухфакторную аутентификацию следует в первую очередь включить для электронной почты, менеджеров паролей, финансовых аккаунтов, профилей в социальных сетях, игровых аккаунтов и панелей администрирования. Аутентификация через приложение или аппаратные ключи безопасности обеспечивают более устойчивую защиту, чем аутентификация через SMS.

В почтовом аккаунте следует проверить правила пересылки, адреса для восстановления доступа, подключённые приложения, список доверенных устройств и недавние сеансы. Даже если злоумышленник не может напрямую получить доступ к аккаунту MemoryBreak, через электронную почту он может атаковать механизмы сброса паролей других сервисов.

Для фишинга могут использоваться название старого сервиса, имя пользователя, сведения о сфере деятельности, стране, увлечениях или дате регистрации. Пользователям следует самостоятельно вводить адрес сайта вместо перехода по ссылкам из полученных сообщений, не открывать вложенные файлы без проверки и настороженно относиться к сообщениям, которые требуют срочных действий.

Риск следует оценивать и для корпоративных пользователей. Если сотрудник использовал рабочую почту в аккаунте, который выглядит личным, тот же пароль могут попытаться применить в системах компании. Поэтому важны проверки безопасности по доменам, многофакторная аутентификация и меры контроля, выявляющие повторное использование паролей.

Для владельцев сайтов главный урок касается хранения паролей и минимизации данных. Хранение паролей в открытом виде или в виде хешей, которые можно быстро взломать, непосредственно снижает безопасность пользователей. В современных системах следует применять стойкие и медленные методы формирования хешей паролей с солью, а старые форматы хешей постепенно обновлять при входе пользователей.

Следует регулярно проверять резервные копии, тестовые среды, файлы экспорта, старое программное обеспечение форумов, панели администрирования и избыточные права доступа. Многие утечки происходят не в видимой части основного приложения, а в забытых вспомогательных системах или через аккаунты с широкими полномочиями.

В организациях, где нет плана реагирования на инциденты, уведомление пользователей, сброс паролей, анализ журналов и проверки связанных систем проводятся с задержкой. Заранее следует определить, какие системы будут отслеживаться, какие записи будут сохраняться, какие пользователи получат уведомления и какие резервные копии будут проверяться.

Поскольку при текущей проверке MemoryBreak доступен, пользователям, которые помнят свои прежние аккаунты, следует непосредственно проверить настройки пароля и профиля.

С учётом турецкого контекста поддельные сообщения от службы поддержки, о продлении лицензии или об обновлении игрового инструмента, составленные на турецком языке, могут выглядеть более убедительно. Пользователям следует осторожно обращаться со ссылками для скачивания файлов и входа в аккаунт.

Поскольку инструменты автоматизации игр могут быть связаны с определёнными правилами платформ, пользователи могут захотеть уменьшить возможность связать один и тот же псевдоним с другими аккаунтами.

Эта запись не была добавлена, поскольку наличие IP-адресов или платёжных данных не подтверждено. Подтверждённый объём ограничен именами пользователей, адресами электронной почты и хешами паролей.

Проверенное изображение логотипа MemoryBreak было скачано в файл и настроено для отображения на сайте в качестве логотипа.

Неподтверждённые типы данных намеренно не включены в эту запись. Для доверия пользователей важнее ясно показать подтверждённые поля, чем составить более длинный список категорий данных. Цель страниц об утечках, не напугать, а точно объяснить объём утечки и применимые меры безопасности.

Эта страница подготовлена, чтобы предоставить понятную и практическую информацию об инциденте, который упоминается под такими названиями, как «утечка данных MemoryBreak», «утечка данных memorybreak.com», «утечка паролей MemoryBreak» и «данные пользователей MemoryBreak». Текст описывает подтверждённые сведения и практические меры безопасности.

Увидев эту запись, пользователям следует оценить состояние не только аккаунта на соответствующей платформе, но и других аккаунтов, созданных с тем же адресом электронной почты. Аккаунты, в которых повторно используются старые пароли, становятся первоочередной целью злоумышленников. Закрытие старых аккаунтов также снижает риск в долгосрочной перспективе.

Чтобы уменьшить повторное использование паролей, в новые пароли не следует включать названия брендов, годы рождения, имена пользователей, названия команд, увлечения, города или легко угадываемые дополнения. Небольшое число или специальный символ в конце пароля не делают его безопасным: инструменты злоумышленников быстро перебирают такие шаблоны.

Контрольный список мер для безопасности аккаунтов прост: сменить старый пароль, обновить пароли во всех аккаунтах, где использовался тот же пароль, включить двухфакторную аутентификацию, проверить сведения для восстановления электронной почты, завершить неизвестные сеансы и открывать сайт по его адресу, а не по ссылкам из подозрительных сообщений.

Командам безопасности следует проверить, есть ли в этой записи адреса электронной почты сотрудников с корпоративными доменами. Корпоративные адреса, использованные в старых аккаунтах на форумах, в интернет-магазинах, финансовых сервисах или сообществах, могут пополнить списки целей злоумышленников.

Минимизация данных критически важна при подобных инцидентах. Не следует собирать ненужные сведения профиля; неактивные аккаунты следует удалять в соответствии с разумной политикой хранения; доступ к конфиденциальным полям необходимо ограничивать, а операции экспорта данных, дополнительно контролировать.

Вместо паники пользователям следует привести аккаунты в порядок. Закрытие старых и забытых аккаунтов, удаление ненужных регистраций, обновление адресов для восстановления доступа и включение уведомлений о входе в важные аккаунты обеспечивают устойчивую защиту.

Уровень риска на этой странице определён как критический с учётом количества затронутых аккаунтов, типа сведений о паролях, возможности использования категорий данных для захвата аккаунтов и наличия в инциденте учётных данных, которые могут использоваться повторно. Критический уровень не означает, что злоупотребление данными точно произошло, но указывает на необходимость быстрых действий со стороны пользователя.

Итак, запись MemoryBreak описывает одну утечку данных за ноябрь 2020 года, затронувшую 40 288 аккаунтов и содержащую адреса электронной почты, имена пользователей и MD5-хеши паролей. Пользователям рекомендуется использовать уникальные пароли, включить двухэтапную проверку, проверить настройки безопасности электронной почты и следить за уведомлениями о подозрительных входах.

Поскольку в записи MemoryBreak числовое значение, название и домен оцениваются в совокупности, неоднозначные элементы списков, распространяющиеся под тем же названием, не были перенесены на эту страницу. Запись, которую видит пользователь, ограничена подтверждённым доменом и периодом инцидента.

Особенно важно не усложнять перечень категорий данных, поскольку добавление неподтверждённых полей искажает оценку риска пользователем. Поэтому сведения, отличные от адресов электронной почты, имён пользователей и MD5-хешей паролей, не представлены в этой записи как подтверждённые поля данных.

Старые регистрации, связанные с доменом memorybreak.com, могли быть забыты. Если сменить пароли в забытых аккаунтах невозможно, более реалистичная первоочередная задача, найти другие сервисы, где используется тот же пароль, и защитить их.

Когда имя пользователя, адрес электронной почты или сведения о телефоне объединяются с данными из других утечек, злоумышленникам становится проще предположить интересы человека, его страну, сферу деятельности или прежние привычки при регистрации в сервисах. Поэтому, даже если отдельная утечка кажется небольшой, совокупный риск оказывается выше.

Организациям следует включать вопрос использования рабочей почты для личных регистраций сотрудников в регулярное обучение по безопасности. Подобные записи служат предупреждающим сигналом при оценке повторного использования паролей и присутствия корпоративных идентификаторов на личных платформах.

Если пользователь видит в этой записи свой адрес электронной почты, ему следует начать с наиболее важных аккаунтов: электронной почты, банковского или инвестиционного аккаунта, менеджера паролей, облачного хранилища, социальных сетей и часто используемых интернет-магазинов.

Если аккаунты можно закрыть, удаление ненужных старых регистраций также будет полезным шагом. В аккаунтах, которые закрыть невозможно, следует как минимум установить уникальный пароль, сократить объём сведений в профиле и включить уведомления о входе.