Данные, ошибочно приписанные Flipkart

В этой записи представлены адреса электронной почты, географическое местоположение, пары координат широты и долготы, имена и номера телефонов. Поле с паролем или платёжной картой не было подтверждено. Неподтверждённые платёжные карты, банковские счета, личные сообщения, официальные удостоверения личности, медицинские записи и дополнительные поля профиля не добавляли в список категорий данных; оставили только поля, наличие которых подтверждалось.

Номера телефонов и точные данные о местоположении позволяют сделать поддельные сообщения о доставке, местных услугах, отправке товаров или проверке аккаунта очень персонализированными. Даже один адрес электронной почты создаёт риск нежелательных сообщений; в сочетании с телефоном, адресом, IP, датой рождения, фотографией, номером удостоверения личности или данными отслеживания устройства он облегчает злоумышленнику подготовку сообщений, адресованных конкретному пользователю. Поэтому риск оценивается не только по числу регистраций, но и по тому, насколько эффективно эти данные можно использовать вместе.

Объём ограничен 552 094 записями за сентябрь 2022 года, однако происхождение набора данных из сервисов Flipkart не было подтверждено. Неподтверждённые поля исключили, а подтверждённые сохранили. Этот случай не объединяли с другими брендами, записями с похожими названиями или случаями, связанными с той же компанией в другие периоды.

Поэтому запись не обозначали как утечку данных домена; в поле страны оставили Индию, а отрасль указали в контексте клиентских данных электронной коммерции. Такой подход предотвращает добавление дублирующих записей об утечках и не позволяет ошибочно возлагать ответственность на организацию в информации для пользователя. Доменное имя, название компании и сведения об отрасли сохраняли в максимально узком и точном контексте; там, где оставалась неопределённость, отметку о подтверждении или домен сайта указывали с её учётом.

В зоне риска могут находиться клиенты, чьи сведения включены в данные индийской электронной коммерции, или люди, чьи номера телефонов и сведения о местоположении оказались в обращении. Пользователям, для которых найдено совпадение, следует также проверить другие аккаунты, где они используют тот же адрес электронной почты, телефон, имя пользователя или шаблон пароля.

Для пользователей, в чьих данных есть координаты местоположения, риски для физической безопасности и риски мошеннических сообщений, привязанных к местоположению пользователя, выше, чем при попадании только в списки адресов электронной почты. Риск социальной инженерии может возрасти при наличии контекста корпоративной почты, детского или семейного аккаунта, общедоступной записи, игровой учётной записи, сообщества, связанного с грамотностью, программы мониторинга или профессионального сервиса. Пользователям не следует считать правдоподобные сведения о себе признаком того, что отправителю можно доверять.

Затронутым пользователям следует проверять сообщения об отправке товаров, возвратах, местной доставке и проверке аккаунта по телефону через официальный канал. Если в записи есть поле пароля, пароль следует сменить во всех аккаунтах, где он используется; если такого поля нет, основное внимание следует уделить рискам, связанным с телефоном, электронной почтой, поддельными уведомлениями и сопоставлением данных для установления личности.

Вместо перехода по ссылкам из сообщения следует вручную ввести адрес соответствующего сервиса или воспользоваться записью в надёжном менеджере паролей. Сообщения о доставке грузов, поддержке, игровых наградах, предупреждениях об аккаунте, общедоступных записях, уведомлениях безопасности, предоставлении доступа к документам или продлении подписки нельзя принимать на веру без проверки через независимый канал.

Пользователям следует сократить необязательное предоставление номеров телефонов и сведений о местоположении в аккаунтах электронной коммерции и не указывать точное местоположение в формах, не связанных с доставкой. Следует регулярно удалять старые аккаунты, ненужные поля профиля, дублирующиеся имена пользователей, а также устаревшие номера телефонов и адреса. Базовым правилом должны стать уникальный пароль для каждого сервиса и двухфакторная аутентификация там, где она доступна.

Со стороны поставщиков услуг необходимы минимизация данных, надёжная защита паролей, мониторинг журналов доступа, удаление ненужных полей и заранее подготовленные процедуры уведомления пользователей. Когда источник набора данных указан ошибочно, важно не представлять бренд как однозначно ответственный за произошедшее: это необходимо для доверия пользователей. Корректное объяснение границ утечки также является частью работы по обеспечению безопасности; преувеличенная или неполная информация может подтолкнуть пользователя к неверным действиям.

Пользователю следует сначала проверить эту запись по своему адресу электронной почты. Если найдено совпадение, следует исходить из того, что номер телефона, имя и точные сведения о местоположении могут быть под угрозой; при этом нельзя считать, что аккаунт Flipkart был непосредственно скомпрометирован. Отсутствие совпадения не исключает полностью использование другого адреса электронной почты или повторное использование старого пароля; важные аккаунты также следует проверить.

Запись осталась отмеченной как содержащая чувствительные данные, но неподтверждённой; кроме того, была добавлена отсутствовавшая категория данных «Пары координат широты и долготы». При этой правке поля данных оставили в виде канонических категорий на английском языке, видимые пользователю описания написали на турецком языке в оригинальной формулировке, неподтверждённые поля не добавляли, а отметку о чувствительных данных использовали только тогда, когда она была обоснована характером риска.