Утечка данных MGM Resorts в 2019 году

Хотя раскрытые в этой записи данные не включают пароли аккаунтов, в совокупности они дают широкие возможности для установления личности и целевого мошенничества. Имея полное имя, адрес электронной почты, номер телефона, почтовый адрес и дату рождения, злоумышленник может подготовить сообщения, которые будут выглядеть персонализированными: например, о бронировании отеля, программе лояльности, подтверждении оплаты, повышении категории номера, возврате средств или планах поездки. Такие гостиничные и развлекательные бренды, как MGM Resorts, общаются с гостями по нескольким каналам, что повышает риск социальной инженерии через электронную почту, SMS и телефонные звонки.

Дату рождения и адрес можно использовать для сопоставления сведений о человеке с данными из других источников. Номер телефона позволяет напрямую связаться с ним под видом службы поддержки, звонком или сообщением. Почтовый адрес дает дополнительную информацию для составления профиля человека, адресной рекламы и целевого мошенничества. Поэтому риск не ограничивается спамом: на первый план выходят фишинг, поддельные уведомления о бронировании, мошенничество с аккаунтами программ лояльности и объединение персональных данных из разных источников. При этом в отношении этой записи пользователям нельзя сообщать об утечке паролей или данных платежных карт.

Подтвержденные сведения включают домен mgmresorts.com, дату утечки (25 июля 2019 года, дату добавления записи) 20 февраля 2020 года, 3 081 321 уникальный адрес электронной почты и 10,6 миллиона записей о гостях. Сообщается, что набор данных связан с одним из облачных сервисов, используемых MGM Resorts, позднее распространялся на форуме и повторно публиковался через разные источники. В 2022 году также отслеживался более крупный набор, включающий исходные данные и предположительно связанный с тем же инцидентом. Поэтому количество записей в исходной записи MGM Resorts нельзя путать с количеством записей в расширенном наборе 2022 года.

В эту запись нельзя добавлять поля с данными кредитных карт, банковских счетов, паролями, номерами социального страхования, паспортов или водительских удостоверений. Хотя в некоторых официальных проверках упоминаются отдельные виды идентификационных номеров для определенных подгрупп, в общедоступной записи для пользователей подтвержденные стандартные категории данных ограничиваются датой рождения, адресом электронной почты, полным именем, номером телефона и почтовым адресом. MGM Resorts работает в сфере гостиничного бизнеса, казино, размещения и развлечений, поэтому указание общей технологической отрасли в поле отрасли вводило бы в заблуждение. В поле страны можно оставить Соединенные Штаты.

Наибольшему риску подвержены гости, которые останавливались в объектах MGM Resorts, оформляли бронирование, пользовались аккаунтом программы лояльности или связывались с брендом по электронной почте либо телефону. Сочетание имени, адреса, номера телефона и даты рождения, которое можно связать с историей поездок, способно сделать персонализированные мошеннические сообщения более убедительными. Для тех, кто пользуется объектами MGM в деловых поездках, риск может быть выше из-за связи между корпоративными адресами электронной почты и частной информацией о проживании.

Люди, чей номер телефона и адрес электронной почты доступны одновременно, могут стать целью поддельных подтверждений бронирования, уведомлений о баллах программы лояльности, рекламных предложений казино, возвратов оплаты за проживание или запросов на проверку платежа. Если также доступен почтовый адрес пользователя, ответы на вопросы для подтверждения личности, основанные на персональных данных, могут стать предсказуемыми. Поскольку эта запись не содержит паролей, предположение о прямом захвате аккаунта некорректно. Однако попытки выманить у пользователя пароль или платежные данные с помощью фишинга и сообщений, использующих социальную инженерию, представляют реальный риск.

Пользователям, обнаружившим совпадения с записью MGM Resorts, следует прежде всего внимательно проверять сообщения о бронировании, возврате средств, оплате, баллах программы лояльности или акциях, полученные по электронной почте и телефону. Вместо входа по ссылке из сообщения нужно открывать соответствующий сервис напрямую, вводя его адрес в адресной строке. Если во время телефонного разговора запрашивают персональные сведения, например дату рождения, адрес, платежные данные, код подтверждения или реквизиты карты, следует завершить разговор и проверить запрос через официальный канал связи.

Хотя пароли не входят в подтвержденные категории данных этой записи, учетную запись электронной почты необходимо защитить. Для нее следует использовать надежный уникальный пароль, включить двухэтапную проверку и завершить незнакомые сеансы. В MGM Rewards и других подобных аккаунтах, связанных с путешествиями или программами лояльности, следует проверить уведомления безопасности, а также зарегистрированные номер телефона и адрес электронной почты. Данные кредитных карт и банковских счетов не входят в подтвержденный состав этой записи; тем не менее подозрительные уведомления о бронировании и оплате нужно проверять через официальные каналы.

Гостиничные сервисы, туристические сервисы и программы лояльности требуют постоянного внимания к конфиденциальности, поскольку собирают не только сведения о личности, но и контактные данные и адреса. Пользователям следует удалять ненужные старые адреса из гостиничных и туристических аккаунтов, закрывать аккаунты программ лояльности, которыми они больше не пользуются, и по возможности разделять личную и рабочую электронную почту. Отдельный адрес электронной почты для рекламных сообщений и уведомлений о бронировании от туристических брендов может облегчить выявление опасных сообщений.

Для компаний этот инцидент показывает, что данные гостей, не просто маркетинговая информация. Необходимо строго проверять облачные сервисы, доступ разработчиков, временные ключи доступа и учетные записи внешних сервисов. Принцип минимальных привилегий, многофакторная аутентификация и оперативная оценка утечек должны стать стандартной практикой. При раскрытии данных гостей нельзя затягивать уведомление; нужно четко указывать, какие категории данных затронуты, а какие, нет. Минимизация данных и своевременное уведомление так же важны для сохранения доверия, как и технические меры.

Если вы видите совпадение с записью MGM Resorts на LeakData, рассматривайте его как связь с утечкой данных гостей гостиниц и казино в 2019 году. Совпадение указывает на то, что ваш адрес электронной почты, полное имя, номер телефона, почтовый адрес и дата рождения могли попасть в эту запись. Это не означает, что ваш пароль или данные платежной карты были раскрыты. Основные действия, проверять получаемые сообщения о поездках и бронировании, защитить учетную запись электронной почты и проверить сведения в аккаунте программы лояльности.

Если вы получили подозрительное сообщение о бронировании, возврате средств, использовании баллов, повышении категории номера или проверке платежа, проверьте его через официальный сайт или контактный центр, не переходя по ссылке. Даже сообщения, персонализированные с помощью даты рождения и адреса, могут быть поддельными. Если вы зарегистрировались с рабочим адресом электронной почты, сообщите об этом корпоративной службе безопасности и с осторожностью относитесь к фишинговым сообщениям на тему путешествий, поступающим на рабочую почту. Вывод для организаций также очевиден: персональные данные, используемые в туристических аккаунтах сотрудников и их аккаунтах программ лояльности, могут стать отправной точкой для целевых атак по электронной почте.