MrExcel Утечка данных

Поля данных, раскрытые в результате этой утечки, несут разные риски. Адреса электронной почты и имена пользователей помогают злоумышленникам связать человека с его участием в MrExcel и подготовить сообщения, которые выглядят персонализированными. По IP-адресам можно приблизительно определить место подключения и получить сведения об интернет-провайдере; сами по себе они не позволяют установить личность, но в сочетании с другими данными могут облегчить составление профиля пользователя. Даты рождения, это персональные сведения, которые могут использоваться при попытках сброса пароля, подбора ответов на контрольные вопросы и социальной инженерии. Социальные связи и активность на сайте могут дать представление об отношениях внутри форума, прежних привычках общения или поведении пользователя. Наиболее критичны данные паролей. Наличие паролей в виде хешей MD5 с солью не означает, что сами пароли были опубликованы открытым текстом. Однако MD5 допускает быстрый перебор вариантов, поэтому короткие, предсказуемые или ранее использовавшиеся пароли могут быть подобраны. Если тот же пароль действует для электронной почты, рабочего аккаунта, облачного хранилища, социальных сетей, покупок или других форумов, одна утечка на форуме может создать гораздо более широкий риск компрометации аккаунтов.

Подтверждённое число затронутых аккаунтов составляет 366 140. Подтверждённая дата инцидента (5 декабря 2016 года, а дата внесения записи) 22 января 2017 года. Утечка касается данных участников форума MrExcel; поэтому нельзя предполагать, что все посетители MrExcel, читатели материалов или покупатели магазина пострадали в одинаковой степени. В официальном уведомлении особо отмечено, что данные аккаунтов магазина в этом инциденте не пострадали. В отношении форума сообщалось о доступе к идентификаторам пользователей, адресам электронной почты и данным паролей в формате hash+salt, а также о том, что были видны некоторые сведения об активности: недавние входы, количество публикаций и данные из похожих административных разделов. В других записях о проверке также перечислялись дата рождения, IP-адрес, социальные связи, имена пользователей и активность на сайте, поэтому эти поля сохранены в данной записи. Это разграничение важно: слишком широкое утверждение об утечке вводит пользователя в заблуждение, а пропущенное поле данных скрывает реальный риск. В случае MrExcel корректно говорить об утечке данных аккаунтов форума, риске подбора паролей из-за слабого алгоритма хеширования и возможности последовательного захвата аккаунтов у людей, использующих один пароль на разных сервисах.

Наибольшему риску подвержены люди, у которых был аккаунт на форуме MrExcel до декабря 2016 года и которые использовали тот же пароль на других сервисах. К этой группе относятся и пользователи, когда-то зарегистрировавшиеся на форуме ради помощи с Excel, но не заходившие туда годами: пароли забытых аккаунтов часто остаются неизменными в менеджерах паролей. Вторая группа риска, пользователи, указавшие рабочую электронную почту в аккаунте форума. Участники форума с корпоративным адресом могут получать более убедительные фишинговые сообщения о файлах Excel, макросах, процессах подготовки отчётности или рабочих документах. Третья группа риска, люди, которые указывают дату рождения или имя пользователя в том же формате на других сайтах. Эти сведения могут использоваться для попыток угадать ответы на вопросы восстановления аккаунта или вызвать доверие с помощью поддельных сообщений от службы поддержки. Больше сведений может быть доступно о тех, кто активно участвует в форуме, часто задаёт вопросы, скачивает плагины или указывает социальные связи в своём профиле. В сообществах технической поддержки, таких как MrExcel, пользователи нередко раскрывают детали своего рабочего процесса, отрасли или используемых инструментов. Поэтому злоумышленники могут предпринимать более прицельные попытки, используя не только пароль, но и сведения о поведении пользователя.

Если ваши данные найдены в этой записи, прежде всего вспомните старый пароль от форума MrExcel и смените пароли во всех аккаунтах, где использовался такой же или похожий пароль. Не ограничивайтесь аккаунтом MrExcel: проверьте также электронную почту, социальные сети, облачные хранилища, платёжные сервисы, магазины, рабочие инструменты и другие форумы, где вы регистрировались с тем же адресом электронной почты. Новые пароли должны быть длинными, уникальными и случайными; простого добавления цифры или символа в конец старого пароля недостаточно. Аккаунт электронной почты нужно защитить в первую очередь: если он будет скомпрометирован, под угрозой окажутся и ссылки для сброса паролей на других сервисах. Включите двухфакторную аутентификацию во всех важных аккаунтах, которые её поддерживают. Также будьте осторожны с подозрительными сообщениями о MrExcel, файлах Excel, макросах, счетах, запросах в службу поддержки, предупреждениях безопасности или сбросе пароля. Не переходите на страницу входа по ссылкам из сообщения: введите адрес в браузере вручную или воспользуйтесь проверенными закладками. Не открывайте неизвестные вложения и особенно не разрешайте выполнение макросов в файлах Office. Если старый аккаунт форума больше не нужен, рассмотрите возможность закрыть его или сократить объём сведений в профиле.

Инцидент MrExcel показывает, что старые аккаунты форумов могут влиять на безопасность даже спустя много лет. В долгосрочной перспективе каждому пользователю стоит перенести все свои учётные записи, в том числе форумные, в менеджер паролей и полностью отказаться от повторного использования паролей. Для регулярной проверки того, не используется ли один пароль на разных сервисах, можно пользоваться средствами проверки в менеджере паролей. Личные аккаунты форумов, зарегистрированные на рабочую почту, также следует отделить от рабочих. Использование одного пароля или способа восстановления для рабочих и личных аккаунтов может перенести риск в корпоративную среду. Для критически важных аккаунтов предпочтительны более надёжные вторые факторы, например аутентификация через приложение или аппаратные ключи. Для администраторов форумов и сообществ вывод тоже очевиден: старое программное обеспечение форумов и плагины нужно регулярно обновлять, алгоритмы хеширования паролей (заменять современными и медленными, аккаунты администраторов) отделять и дополнительно защищать, а при подозрении на утечку, не откладывать уведомление пользователей. Пользователям, в свою очередь, не стоит оставлять в старых профилях форумов ненужные даты рождения, ссылки на социальные сети или сведения о работе. Чем меньше данных в профиле, тем меньше контекста сможет использовать злоумышленник при будущей утечке.

Совпадение с записью MrExcel означает, что соответствующий адрес электронной почты найден среди данных аккаунтов форума за декабрь 2016 года. Сначала определите, какой пароль вы использовали на этом форуме, а затем поочерёдно обновите пароли во всех аккаунтах, где этот пароль мог использоваться раньше. Даже если вспомнить старый пароль не удаётся, считайте аккаунты, созданные в тот же период, потенциально уязвимыми и просмотрите записи в менеджере паролей. В аккаунте электронной почты проверьте недавние входы, адреса для восстановления, правила пересылки и незнакомые устройства. Если обнаружите подозрительный сеанс, завершите сеансы на всех устройствах, сбросьте пароль и включите двухфакторную аутентификацию. Из-за раскрытия даты рождения и имени пользователя также пересмотрите контрольные вопросы для сброса пароля и используйте уникальные ответы вместо легко угадываемых. Особенно внимательно проверяйте вложения и ссылки в письмах, которые выглядят как сообщения о файлах Excel, макросах, скачивании файлов или поддержке форума. Этот инцидент не следует считать утечкой аккаунтов магазина или платёжной информации. Однако если пароль форума повторно используется на других сервисах, последствия могут выйти за пределы форума. Поэтому лучшее действие, сделать так, чтобы старый пароль форума больше нигде не действовал, и использовать дополнительный уровень проверки в важных аккаунтах.