Утечка данных MyCastingFile (2020)

Подтверждённые типы данных в этой записи охватывают обширные личные сведения, введённые при создании кастингового профиля. Имя, адрес электронной почты, номер телефона и фактический адрес создают прямой риск нежелательных контактов и установления личности путём сопоставления данных. Дата рождения, сведения о местоположении и фотографии профиля могут помочь связать присутствие человека в интернете с его реальной личностью. Такие поля, как внешние данные, рост, вес, цвет волос или кожи, этническая принадлежность, размер одежды и сведения об автомобиле, делают профиль более чувствительным с точки зрения конфиденциальности, чем обычный список аккаунтов. История работы и информация об участии в кастингах могут использоваться для фиктивных предложений ролей, поддельных сообщений от продюсерских компаний или мошенничества с обещаниями оплаты. Такое сочетание данных создаёт риски целевого фишинга, преследования, выдачи себя за другого человека и угроз, выходящих за пределы интернета, даже если среди данных нет пароля.

Подтверждённой датой инцидента следует считать 31 мая 2020 года; опубликованное исследование получило публичное освещение 16 июля 2020 года. Поскольку сообщалось о более чем 260 000 затронутых пользователей, в системе следует использовать значение 260 000 в основной записи. По сообщениям, оставшееся хранилище данных имело объём приблизительно 1 GB и содержало 9 456 433 записи; это не число уникальных пользователей, а количество профилей и связанных с ними записей. Наличие паролей, платёжных карт, банковских счетов или номеров государственных удостоверений личности в этой записи не было подтверждено, поэтому эти поля не включены. Утверждение о доступности всех фотографий также нельзя распространять на весь массив: в отчёте говорится, что доступны некоторые фотографии, а содержимое размещено на разных хостинговых площадках. В этих пределах масштаб инцидента подтверждён с высокой степенью уверенности.

Наибольшему риску подвержены люди, которые указывают в кастинговом профиле свой реальный адрес, номер телефона, дату рождения, актуальную фотографию, сведения об автомобиле и подробные внешние данные. Люди, ищущие работу в качестве актёров, участников массовки, моделей или сотрудников съёмочной площадки, могут легко стать мишенью правдоподобных, но фиктивных предложений ролей. Профили детей или молодых актёров несут отдельные риски: сочетание внешних данных и фотографий с контактной информацией родителей усиливает угрозу безопасности. История работы и сведения о местоположении могут помочь злоумышленнику составить более убедительные сообщения с упоминанием конкретного города, съёмочной площадки, агентства или названия проекта. Для людей, использующих один и тот же адрес электронной почты в социальных сетях, актёрских портфолио и платёжных аккаунтах, риск установления личности путём сопоставления данных и мошенничества выше.

Пользователю, у которого обнаружено совпадение с этой записью, прежде всего следует проверить контактные сведения и общедоступные портфолио в своём аккаунте MyCastingFile. Если один и тот же номер телефона, адрес электронной почты и фотографии используются на разных платформах, следует ужесточить настройки конфиденциальности. Если от имени организаторов кастинга, агентства, продюсерской компании или съёмочной группы поступают сообщения с требованием внести плату, предоставить банковские сведения или документы, удостоверяющие личность, подтвердить адрес либо немедленно совершить платёж, следует приостановить взаимодействие и независимо проверить запрос, не используя канал, по которому он поступил. Родителям следует сократить объём доступных для сбора сведений в аккаунтах, связанных с детским профилем, включая фотографии, адреса и сведения об окрестностях школы. Не следует отвечать на подозрительные сообщения, открывать ссылки или скачивать вложения. Для электронной почты, используемой в аккаунте, следует включить двухфакторную аутентификацию, а важные аккаунты, связанные с тем же адресом, проверить отдельно.

В сервисах кастинговых профилей и портфолио исполнителей пользователям следует избегать публикации сведений, не нужных для подачи заявки на работу, и периодически сокращать объём информации в портфолио. Когда в одном профиле собраны фотографии, адреса, сведения об автомобилях и внешние данные, риск не ограничивается интернет-мошенничеством: под угрозой может оказаться и физическая безопасность человека. Поэтому важно использовать отдельный адрес электронной почты, сообщать номер телефона только проверенным агентствам, удалять старые портфолио и отделять профили в социальных сетях от кастинговых аккаунтов. Для организаций, управляющих платформами, главный урок, не оставлять хранилища поисковых и профильных данных открытыми без аутентификации, регулярно проверять журналы доступа, предусматривать отдельный уровень защиты для детских профилей и сокращать неоправданно длительные сроки хранения данных.

Совпадение с записью MyCastingFile 2020 означает, что соответствующий адрес электронной почты мог присутствовать в кастинговом профиле или в данных заявки исполнителя. Такое совпадение не доказывает раскрытие пароля или данных платёжной карты. Оно означает, что подтверждённый риск связан с совместным использованием обширных личных сведений из профиля, фотографий, контактной информации, данных о местоположении и внешних данных. Пользователям следует проверить прежние заявки на кастинги, страницы портфолио, ссылки на социальные сети и контакты агентств, а также независимо проверять поступающие от незнакомых людей предложения ролей и запросы, связанные с оплатой, поездками или подтверждением личности. Организациям следует классифицировать эту запись как инцидент с высоким риском для персональных данных профилей, связанный с открытым хранилищем данных 2020 года, и рассмотреть дополнительные меры защиты, особенно для профилей детей или молодых актёров.