Утечка данных MyFitnessPal

Подтвержденные категории данных, адреса электронной почты, IP-адреса, пароли и имена пользователей. Сообщалось, что данные паролей представлены хеш-значениями: для части аккаунтов использовался SHA-1, а для более новых, bcrypt. Это отличается от утечки паролей в открытом виде, однако для слабых или повторно используемых паролей риск сохраняется. Адреса электронной почты и имена пользователей позволяют сопоставлять аккаунты на разных платформах. IP-адреса также могут давать косвенную информацию о регионах доступа и типичных сеансах. Сведения о платежных картах, ежедневные записи о питании, данные о весе, история тренировок и данные официальных документов, удостоверяющих личность, не входят в подтвержденные категории данных этой записи. Риск прежде всего связан с захватом аккаунтов и повторным использованием паролей.

Подтвержденное число аккаунтов, затронутых инцидентом MyFitnessPal, составляет 143 606 147. Основным периодом утечки следует считать февраль 2018 года, подтвержденной датой добавления (февраль 2019 года, а датой последнего обновления источника) 21 февраля 2019 года. Согласно заявлению самой компании, затронутые сведения включают имена пользователей, адреса электронной почты и хешированные пароли. В подтвержденных внешних журналах безопасности аккаунтов также указаны IP-адреса. Поэтому пользователю следует показывать только поля адресов электронной почты, IP-адресов, паролей и имен пользователей. То, что MyFitnessPal, сервис для отслеживания питания и физической активности, не означает, что данные дневников здоровья также были раскрыты. Добавление неподтвержденных полей создает у пользователя ошибочное представление о риске.

Наибольшему риску подвержены люди, которые используют в других сервисах тот же адрес электронной почты, что и в аккаунте MyFitnessPal, и похожий пароль. Если один и тот же пароль используется в приложениях для фитнеса, питания и спорта, социальных сетях, электронной почте и аккаунтах для покупок, злоумышленники могут использовать эти сведения для автоматизированных попыток входа. Пользователи, которые годами не заходили в старые аккаунты, также подвержены риску: забытый пароль может по-прежнему действовать в других сервисах. Для сотрудников, зарегистрированных с корпоративным адресом электронной почты, фишинговые сообщения могут выглядеть убедительнее. Сочетание IP-адреса и имени пользователя может использоваться для персонализации поддельных уведомлений о входе или сообщений о восстановлении аккаунта.

Если ваши данные затронуты утечкой, прежде всего смените пароль аккаунта MyFitnessPal на надежный и уникальный. Если тот же или похожий пароль используется в других сервисах, в первую очередь смените пароли электронной почты, социальных сетей, облачных хранилищ, аккаунтов для покупок, фитнес-приложений и аккаунтов, связанных с платежами. Создание отдельного пароля для каждого сервиса с помощью менеджера паролей снижает риск повторного использования. В аккаунтах, поддерживающих многоэтапную проверку, следует ее включить. Остерегайтесь поддельных сообщений о сбросе пароля, вознаграждении, подписке, счете на оплату или блокировке аккаунта, отправленных от имени MyFitnessPal или фитнес-приложения. Перед переходом по ссылке вручную проверьте адрес и не открывайте подозрительные файлы и формы.

В долгосрочной перспективе приложения для фитнеса и образа жизни следует защищать столь же последовательно, как основную электронную почту и финансовые аккаунты. Регистрация во многих приложениях с одним адресом электронной почты приводит к тому, что риск от одной утечки распространяется на разные сервисы. Пользователям следует регулярно проверять старые аккаунты, менять пароли в сервисах, которыми они больше не пользуются, или удалять аккаунты. Менеджер паролей может служить основным инструментом для создания случайных и уникальных паролей. В корпоративной среде важны правила безопасности, запрещающие сотрудникам использовать рабочую почту и рабочие пароли в личных приложениях. Помните, что старые утечки могут вновь появиться спустя годы, и не используйте прежние пароли для новых аккаунтов.

Когда в LeakData появляется результат по MyFitnessPal, это означает, что адрес электронной почты входит в набор данных аккаунтов сервиса для отслеживания физической активности и питания за 2018 год. Такой результат не доказывает, что нынешние дневники здоровья или питания пользователя были скомпрометированы: он ограничен подтвержденными полями идентификаторов аккаунтов и паролей, с которыми связан риск. Сначала пользователю следует проверить свой аккаунт MyFitnessPal, затем, пароли, использовавшиеся в тот же период, и важные аккаунты, созданные с тем же адресом электронной почты. В первую очередь следует проверить электронную почту, социальные сети, аккаунты для покупок и облачные хранилища. Основной период инцидента (февраль 2018 года, а подтвержденная дата добавления) февраль 2019 года. Такая хронология не позволяет экрану «Безопасность аккаунтов» ошибочно определять этот инцидент как текущий и помогает пользователю правильно расставить приоритеты.