Утечка данных MyLloyd в 2016 году

Основные типы данных, которые можно подтвердить в записи MyLloyd, адреса электронной почты и пароли. Одного адреса электронной почты обычно недостаточно для кражи личности, но в сочетании с паролем он существенно повышает риск. Адрес электронной почты служит идентификатором аккаунта, а пароль можно проверить в том же или похожих сервисах. Когда старая утечка вновь появляется спустя годы, атаки на основе повторного использования паролей сохраняют актуальность. Злоумышленнику может быть неважно, что аккаунт зарегистрирован давно: пользователь мог годами сохранять один и тот же базовый пароль, лишь немного его меняя.

Обнаружение паролей в открытом виде означает, что эта запись представляет собой не просто список адресов электронной почты. Если пароли хешированы с использованием надёжной соли, злоумышленнику требуются дополнительные вычислительные ресурсы; пароли в открытом виде можно проверять сразу. Поэтому риск не ограничивается аккаунтами MyLloyd или Lloyd. Если та же комбинация адреса электронной почты и пароля используется для почтового ящика, аккаунта в магазине, социальной сети, рабочего аккаунта, платёжного сервиса или облачного хранилища, возникает риск последовательного получения доступа к этим аккаунтам. Самая важная мера защиты со стороны пользователя, полностью отказаться от старого пароля и заменить все похожие варианты.

За основу этой записи взят набор данных MyLloyd из 26 244 строк. Датой события оставлен май 2016 года, поскольку в доступных каталогах утечек этому периоду соответствуют то же доменное имя, тот же тип аккаунтов и те же поля данных. Во внешних каталогах датой добавления записи указано 25 июля 2022 года. Это не день самого события, а время, когда данные были проиндексированы или вновь стали видны. Такое различие важно: если показать пользователю 2022 или 2026 год как дату утечки, данные старого аккаунта можно ошибочно принять за сведения о новом инциденте.

Необходимо также чётко обозначить границы охвата. В некоторых вторичных списках для mylloyd.com указаны 30 706 записей и дата 19 июня 2017 года. Это расхождение могло возникнуть из-за добавления тех же данных в другую таблицу, их переупаковки, подсчёта по разным полям или использования отдельной даты индексации в качестве даты события. Более высокое число, не получившее согласованного подтверждения, не было включено в основной подсчёт затронутых аккаунтов в этой записи. Поэтому пользователю показаны 26 244 записи за май 2016 года с полями адресов электронной почты и паролей, сведения, по которым источники наиболее уверенно совпадают.

К первой группе риска относятся люди, которые до 2016 года или в течение этого года использовали один и тот же адрес электронной почты на mylloyd.com, в каналах поддержки Lloyd, при обращениях за обслуживанием, регистрации продукции или в аналогичных сервисах для покупок. Особенно высок риск для пользователей, которые повторно используют один пароль на разных торговых сайтах, в почтовых сервисах или социальных сетях. Даже если пользователь уже не помнит свой аккаунт MyLloyd, его старые данные всё ещё могут быть полезны злоумышленнику: прежние шаблоны паролей способны дать подсказки о новых паролях.

Вторая группа риска, сотрудники, которые регистрируются в личных сервисах с корпоративным адресом электронной почты. Появление такого адреса в старой утечке потребительского сервиса само по себе не означает доступа к корпоративной системе. Однако оно даёт злоумышленнику контекст для целевого фишинга, подбора паролей и попыток социальной инженерии. К третьей группе относятся люди, которые создают аккаунты от имени членов семьи или управляют несколькими пользовательскими аккаунтами с одного устройства. В таких случаях один адрес электронной почты может быть связан с несколькими товарами, обращениями за обслуживанием или сообщениями о доставке, что помогает злоумышленнику составлять убедительные сообщения.

Если ваш адрес электронной почты присутствует в этой записи, убедитесь, что старый пароль, связанный с MyLloyd или Lloyd, не используется ни в одном другом сервисе. Если тот же или похожий пароль всё ещё используется, в первую очередь задайте уникальные пароли для всех критически важных аккаунтов, начиная с электронной почты и аккаунтов для финансовых операций. При смене пароля недостаточно добавить цифру или символ в конец старого: злоумышленники легко проверяют такие небольшие изменения в автоматизированных попытках входа. Лучший вариант, создавать длинные уникальные пароли с помощью менеджера паролей.

Для почтового аккаунта следует включить многофакторную аутентификацию. Поскольку почтовый ящик служит центром сброса паролей для других сервисов, его компрометация может привести к цепочке потерь. Проверьте в своих аккаунтах историю последних входов, незнакомые устройства, правила пересылки и адреса электронной почты для восстановления доступа. Если в аккаунтах магазинов и сервисов сохранены адреса, номера телефонов или способы оплаты, рекомендуется удалить устаревшие сведения. При получении подозрительного письма проверяйте информацию, самостоятельно переходя по известному адресу сервиса, а не нажимая на ссылку в письме.

Хотя инцидент MyLloyd произошёл давно, его урок для долгосрочной безопасности ясен: повторное использование одного пароля превращает небольшую утечку в риск захвата аккаунтов, который сохраняется годами. Для каждого сервиса следует использовать отдельный пароль и хранить его в надёжном менеджере паролей, а не полагаться на запоминающиеся шаблоны. Для критически важных аккаунтов предпочтительны приложения-аутентификаторы или аппаратные ключи безопасности, а коды по SMS по возможности следует заменять более надёжными методами.

В корпоративной среде такие записи не следует рассматривать лишь как вопрос привычек сотрудников при использовании личной электронной почты. Если адреса в домене компании использовались в старых потребительских сервисах, команде безопасности следует принять меры: внедрить политики, предотвращающие повторное использование паролей, проверку паролей по утечкам, уведомления о рискованных сеансах и обязательную многофакторную аутентификацию. Обучение пользователей не менее важно, чем технические меры защиты. В частности, необходимо объяснять, что целевые сообщения, созданные на основе данных старых утечек, могут использовать подлинную лексику бренда и старые названия сервисов.

Если запись MyLloyd отображается для пользователя в LeakData, этот результат следует воспринимать не как самостоятельное доказательство кражи личности, а как серьёзное предупреждение о необходимости прекратить повторное использование паролей. Запись основана на адресе электронной почты, поле пароля, периоде мая 2016 года и 26 244 затронутых записях. Поскольку официального объявления нет, в неё не добавлены окончательные утверждения о техническом механизме утечки, группе злоумышленников или подробностях доступа к системе. Такой ограниченный подход снижает риск как ложной уверенности, так и ложной тревоги.

Практический порядок действий прост: сначала защитите почтовый аккаунт, затем обновите пароли в аккаунтах магазинов, социальных сетей, облачных сервисов и рабочих систем, где мог использоваться тот же пароль, и наконец завершите все незнакомые сеансы. После смены паролей также проверьте сведения для восстановления доступа. Даже если старый аккаунт MyLloyd больше не активен, любой сервис, где раньше использовался тот же пароль, остаётся зоной риска. Эту запись следует рассматривать как раннее предупреждение, которое помогает понять, от какого семейства старых паролей нужно отказаться.