MyFHA Утечка данных

Подтвержденные в этой записи типы данных включают чувствительные сведения, используемые в заявках на финансирование жилья. Адрес электронной почты, полное имя, IP-адрес и физический адрес позволяют напрямую установить личность пользователя и связать ее с контактными данными. Кредитный статус, уровень дохода и сведения о кредитах могут указывать на финансовые потребности человека, его платежеспособность или стремление получить заем. Поля с описанием личных обстоятельств еще более чувствительны: сообщалось, что в некоторых записях упоминаются такие подробности частной жизни, как юридические проблемы, развод, состояние здоровья или семейная ситуация. Наличие поля пароля повышает риск захвата аккаунтов, если тот же или похожий пароль используется в других сервисах. Поэтому этот инцидент следует рассматривать как утечку с серьезными последствиями, которая предоставляет злоумышленникам сведения, способные облегчить кредитное мошенничество и применение методов социальной инженерии.

Подтвержденную дату инцидента следует указывать как 18 февраля 2015 года, дату добавления записи (как 9 августа 2018 года, а число затронутых аккаунтов) как 972 629. Подтвержденное доменное имя, myfha.net. Категории данных включают сведения о кредитном статусе, адреса электронной почты, уровни дохода, IP-адреса, сведения о кредитах, имена, пароли, описания личных обстоятельств и физические адреса. Такие данные, как номера социального страхования, данные платежных карт, номера банковских счетов или сведения из официальных документов, удостоверяющих личность, не включены: наличие этих полей в данной записи не подтверждено. Поскольку однозначного публичного подтверждения технического формата хранения паролей нет, в тексте упоминается только поле пароля. Хотя инцидент не отнесен к категории чувствительных платформ, его последствия для пользователей серьезны из-за наличия финансовых данных и сведений о личных обстоятельствах.

К группе наибольшего риска относятся люди, которые оставляли сведения в MyFHA в связи с получением жилищного кредита, урегулированием задолженности, улучшением кредитного рейтинга или поиском финансирования. Пользователи, указавшие свой настоящий адрес, уровень дохода и кредитный статус, могут стать мишенью мошенников, которые выдают себя за кредитных консультантов, обещают урегулировать долги, требуют предварительную оплату или представляются сотрудниками банка. Если в описаниях личных обстоятельств упоминаются судебные разбирательства, развод, проблемы со здоровьем или давление со стороны семьи, злоумышленник может использовать эти сведения для более убедительных сообщений и эмоционального давления. Риск возрастает для тех, кто использует один и тот же адрес электронной почты и пароль в других финансовых сервисах, почтовых службах, на платформах недвижимости или в социальных сетях. Пользователи, подававшие заявки с корпоративным адресом электронной почты, также могут получать целевые фишинговые сообщения через рабочий аккаунт.

Если обнаружено совпадение с вашими данными, прежде всего смените пароль аккаунта MyFHA и пароли всех аккаунтов, где используется тот же или похожий пароль. В первую очередь следует проверить почтовые аккаунты, банковские приложения, сервисы мониторинга кредитной истории, платформы недвижимости и аккаунты в социальных сетях. Новые пароли должны быть длинными, уникальными и созданными с помощью менеджера паролей. Включите двухэтапную проверку во всех аккаунтах, где она поддерживается. Осторожно относитесь к сообщениям об одобрении кредита, погашении долга, низких процентных ставках, задолженности по налогам, отсрочке обращения взыскания или сборах за оформление документов. Не считайте запросы заслуживающими доверия только потому, что отправитель знает сведения о ваших личных обстоятельствах или старый адрес. Прежде чем переводить деньги, передавать документы, удостоверяющие личность, коды подтверждения или дополнительную финансовую информацию, проверьте запрос через официальный канал связи организации.

Этот инцидент показывает, что данные, собираемые на сайтах для подачи финансовых заявок, создают более широкий риск, чем обычные сведения об аккаунтах. Пользователям не следует оставлять излишние подробности личной жизни в кредитных сервисах, на платформах недвижимости или в сервисах консультирования по долгам. Подробно описывая свои финансовые потребности, необходимо учитывать, что эти сведения могут увидеть третьи лица. Старые аккаунты, использовавшиеся для подачи кредитных заявок, следует закрыть или хотя бы сменить их пароли. Для финансовых сервисов следует использовать отдельный адрес электронной почты и не повторять один и тот же пароль ни в одном аккаунте. Главный вывод для организаций, ограничивать поля свободного ввода в заявках, хранить финансовые сведения и описания личных обстоятельств лишь в течение короткого срока, строго контролировать доступ и после инцидента четко сообщать пользователям о рисках повторного использования паролей, кредитного мошенничества и целевого фишинга.

Совпадение с MyFHA в этой записи означает, что соответствующий адрес электронной почты может присутствовать в данных за 2015 год, связанных с финансированием жилья. Совпадение не доказывает, что номер социального страхования или данные платежной карты были раскрыты. Риск связан с сочетанием подтвержденных полей (кредитного статуса, уровня дохода, сведений о кредитах, физического адреса, описания личных обстоятельств и пароля,) которые могут использоваться вместе для целенаправленного мошенничества. Пользователю следует проверить финансовые аккаунты и старые кредитные заявки, связанные с тем же адресом электронной почты, отказаться от повторного использования паролей, усилить защиту с помощью двухэтапной проверки и независимо проверять неожиданные сообщения с обещаниями предоставить кредит или решить проблемы с долгами. Для организаций эта запись требует приоритетного уведомления пользователей, даже несмотря на ее давность, поскольку она содержит финансовый профиль и сведения о личных обстоятельствах.