Утечка данных Minted в 2020 году

Подтверждённые категории данных в утечке Minted, адреса электронной почты, имена, пароли, номера телефонов и почтовые адреса. Сведения об адресе электронной почты и имени могут использоваться для отправки пользователю убедительных сообщений, связанных с его аккаунтом Minted, историей заказов или интересом к персонализированной дизайнерской продукции. Даже если пароль защищён хешированием с солью, слабый пароль можно подобрать с помощью атаки по словарю; если тот же пароль использовался в других аккаунтах, риск выходит за пределы Minted. Номера телефонов создают дополнительный канал для мошенничества через SMS, звонков от имени службы поддержки и фишинговых попыток под предлогом доставки.

Почтовые адреса также имеют значение: платёжные адреса и адреса доставки могут использоваться в поддельных уведомлениях об отправке, фиктивных подтверждениях оплаты, мошеннических процедурах возврата и сообщениях, направленных на членов семьи с применением социальной инженерии. В этой утечке не подтверждено, что были затронуты финансовые данные, такие как номера платёжных карт или банковских счетов. Также нет подтверждения распространения личного содержимого адресных книг и файлов с дизайнами. При оценке риска следует учитывать эти ограничения и сосредоточиться на необходимых действиях пользователя, не преувеличивая реальные угрозы.

Подтверждённой датой считается 6 мая 2020 года, поэтому результат по Minted не следует воспринимать как новый инцидент 2025 года. Последующее распространение записей в составе крупных наборов данных или их повторное появление в разных списках мониторинга безопасности не меняет дату инцидента. На LeakData учтено 4 418 182 уникальных аккаунта; это число отражает подтверждённый масштаб после распространения клиентских данных Minted на офлайн-рынках.

Категории данных ограничены адресами электронной почты, именами, паролями, номерами телефонов и почтовыми адресами. Такой подход позволяет избежать ненужной паники и направляет пользователя к конкретным мерам безопасности, которые действительно можно предпринять.

Наибольшему риску подвержены пользователи, которые используют пароль от аккаунта Minted также в других аккаунтах интернет-магазинов, электронной почты, социальных сетей или финансовых сервисов. Даже если пароль хеширован, слабые или ранее утекшие пароли можно подобрать и попробовать использовать на других сайтах. Вторая важная группа, клиенты, указавшие свой адрес доставки и номер телефона. Они могут столкнуться с поддельными сообщениями о доставке, предупреждениями об отмене заказа, запросами на подтверждение аккаунта или мошенническими формами, в которых под предлогом возврата запрашиваются платёжные данные.

Третья группа риска, клиенты, которые используют аккаунт Minted для личных целей, например семейных мероприятий, свадеб, дней рождения, объявлений о рождении ребёнка или оформления дома. Среди подтверждённых категорий утекших данных нет содержимого дизайнов; однако контекст заказов и общения может сделать сообщение злоумышленника более личным. Сочетание адреса электронной почты, имени, номера телефона и почтового адреса создаёт условия для мошеннических попыток, которые выглядят убедительнее обычного спама. Поэтому нельзя считать риск устранённым только за счёт смены пароля.

Пароль от аккаунта Minted следует немедленно сменить. Если тот же пароль использовался в других аккаунтах, для каждого из них также нужно выбрать новый уникальный пароль. В первую очередь следует защитить почтовый аккаунт, поскольку ссылки для сброса пароля часто приходят по электронной почте. По возможности во всех важных аккаунтах следует включить многофакторную аутентификацию и предпочесть SMS более устойчивые к атакам методы, такие как приложение для аутентификации или аппаратный ключ. Менеджер паролей упрощает создание надёжных и уникальных паролей для каждого аккаунта.

Не следует переходить по прямым ссылкам в электронных письмах и SMS, отправленных от имени Minted или службы доставки. Получив уведомление о заказе, доставке, возврате или безопасности аккаунта, пользователю следует вручную ввести адрес сайта в браузере и проверить информацию. Нельзя сообщать пароли, коды подтверждения или платёжные данные во время телефонных разговоров со службой поддержки. Пользователям, чьи почтовые адреса затронуты утечкой, следует внимательнее относиться к уведомлениям о доставке и поддельным запросам на оплату счетов; членов семьи, живущих по тому же адресу, также нужно предупредить о подобных сообщениях.

В долгосрочной перспективе риск снижают отдельные псевдонимы электронной почты для аккаунтов интернет-магазинов, уникальные пароли и привычка регулярно проверять аккаунты. Пользователи могут сократить объём хранящихся в старых аккаунтах для покупок данных: номеров телефонов, адресов доставки и ненужной личной информации. Поскольку данные из утечки сервиса могут повторно использоваться в мошеннических кампаниях спустя годы, одной смены пароля в момент инцидента недостаточно; следует учитывать, что утекшие контактные данные могут долго оставаться в обращении.

Утечка Minted показывает, что на платформах электронной торговли безопасность паролей и конфиденциальность контактных данных клиентов нужно рассматривать вместе. Даже если пароль защищён хешированием, такие поля, как телефон и адрес, упрощают персонализацию мошеннических сообщений. Пользователям следует отказаться от повторного использования паролей, удалить ненужные данные из старых аккаунтов, критически относиться к поддельным сообщениям о доставке и возврате и защищать почтовый аккаунт как основной элемент безопасности всех аккаунтов.

Пользователям, для которых LeakData обнаружил совпадение с данными Minted, следует рассматривать этот результат как утечку данных клиентских аккаунтов и контактной информации от 6 мая 2020 года. Само совпадение не означает, что утечка сведений о платёжной карте однозначно подтверждена; однако поля с электронной почтой, именем, хешем пароля, телефоном и адресом создают риски для безопасности аккаунтов и возможность применения социальной инженерии. Первым действием должна стать смена пароля Minted и паролей во всех аккаунтах, где использовался тот же пароль. Затем следует внимательнее следить за почтовым аккаунтом, телефонной линией и уведомлениями о доставке.

Правильный подход к безопасности при этой утечке, сделать пароль уникальным и исходить из того, что контактные данные могут использоваться для мошенничества. Пользователю следует по отдельности привести в порядок аккаунты на сервисах, где использовалась та же комбинация электронной почты и пароля, что и в Minted, перейти на надёжный менеджер паролей, включить многофакторную аутентификацию и поддерживать актуальность способов восстановления доступа к аккаунту. Запросы на срочные действия, полученные по телефону или электронной почте, следует проверять, переходя непосредственно на официальный сайт.