Утечка данных MyPertamina в 2022 году

Основные типы данных в записи MyPertamina, даты рождения, адреса электронной почты, сведения о поле, имена, номера телефонов, физические адреса и записи о покупках. Поле с паролем не входит в число подтверждённых категорий данных для этой записи, поэтому инцидент не следует описывать как прямую компрометацию паролей. Тем не менее риск не снижается, меняется лишь его характер. Когда адрес электронной почты, номер телефона, имя, адрес и дата рождения оказываются вместе, злоумышленнику проще сделать убедительными попытки целевого фишинга, звонки от имени службы поддержки, мошенничество под предлогом доставки или оплаты, а также попытки обойти проверку с помощью контрольных вопросов.

Данные о покупках также создают риски, связанные с поведением пользователя. Привычки при покупке топлива или использовании услуг могут косвенно указывать на типичные перемещения пользователя, использование автомобиля и время совершения платежей. В сочетании с физическим адресом и номером телефона эти сведения могут стать основой не только для проблем с цифровыми аккаунтами, но и для преследования в реальной жизни, мошеннических звонков под предлогом акций и сценариев социальной инженерии. Поэтому запись об утечке MyPertamina следует считать критически важной: даже без паролей она содержит сочетание данных, позволяющее составить подробный профиль человека.

Неподтверждённые сведения о числе людей, полях данных и заявления злоумышленников не включаются в публично описываемый объём инцидента. Сообщалось, что исходные данные содержат более 44 миллионов строк, однако число исходных строк не равнозначно числу уникальных людей. История транзакций, дубликаты записей, несколько строк, относящихся к одному пользователю, или разные таблицы в выгрузке данных могут увеличивать общее количество исходных строк.

Дату инцидента следует указывать как ноябрь 2022 года, а дату добавления в систему, как январь 2024 года. Если в качестве даты утечки отображается дата предыдущего технического обновления или время массового импорта, пользователи могут подумать, что утечка произошла в 2025 или 2026 году. В этой записи путаница устранена: дата утечки (1 ноября 2022 года, подтверждённая дата внесения в реестр) 27 января 2024 года, а число затронутых уникальных адресов электронной почты принято равным 5 970 416. Сведения о компании также следует обновить, указав Индонезию, энергетику и сервис оплаты топлива.

Первая группа риска, люди, которые создали аккаунт MyPertamina и использовали свой адрес электронной почты и номер телефона для оплаты топлива или операций по программе лояльности. Когда имена, номера телефонов, адреса и сведения о покупках этих людей оказываются вместе, звонки от имени службы поддержки могут звучать убедительнее. Злоумышленник может побуждать пользователя перейти по ссылке или сообщить дополнительные персональные данные через сообщения о субсидиях на топливо, проверке платежей, бонусных баллах, акциях или продлении действия аккаунта.

Вторая группа риска, люди, которые используют один и тот же номер телефона для банковских услуг, электронных кошельков, доставки и государственных услуг. В некоторых сервисах номер телефона и дата рождения могут служить вспомогательными сведениями, облегчающими прохождение проверки личности при разговоре. Третья группа риска, сотрудники, которые создают личный аккаунт MyPertamina с корпоративным адресом электронной почты. Такое совпадение не означает прямого доступа к системе компании. Однако если настоящее имя сотрудника, его номер телефона или сведения об адресе используются в целевых фишинговых сообщениях, риск для безопасности повышается.

Пользователям, чьи данные присутствуют в записи MyPertamina, прежде всего следует внимательно проверять сообщения, поступающие на электронную почту и телефон и касающиеся топлива, оплаты, бонусных баллов, субсидий или проверки аккаунта. Вместо входа по ссылке из сообщения следует использовать известный официальный адрес сервиса или его мобильное приложение. При входящих телефонных звонках нельзя сообщать персональные идентификационные номера, даты рождения, адреса, одноразовые коды или платёжные данные. Настоящие сотрудники службы поддержки не должны запрашивать коды безопасности.

Даже если утечка пароля не подтверждена, следует надёжно защитить важные аккаунты, использующие тот же адрес электронной почты. Для электронной почты, электронных кошельков, банковских сервисов, доставки и государственных услуг нужно включить многофакторную аутентификацию, а также проверить номера телефонов и адреса электронной почты для восстановления доступа. Пользователю следует завершить подозрительные сеансы, удалить незнакомые устройства и убрать из сервисов устаревшие адреса и номера телефонов. Дату рождения и адрес теперь следует считать сведениями, которые легко угадать, и не использовать их в паролях или PIN-кодах.

Утечка MyPertamina показывает, что персональные данные, помимо пароля, тоже имеют долгосрочное значение для безопасности. Пользователям стоит выработать привычку предоставлять каждому сервису минимум данных. Необязательные поля, например номер телефона, адрес или дату рождения, следует оставлять пустыми. По возможности стоит использовать маскировку электронной почты, отдельные адреса для связи и индивидуальные настройки уведомлений для каждого сервиса. Если персональные данные уже попали в оборот, полностью изъять их невозможно. Поэтому основная защита, не допускать, чтобы одни и те же данные служили единым ключом доступа к разным аккаунтам.

История покупок, номера телефонов и адреса имеют ценность не только для маркетинга: попав в чужие руки неправомерным путём, они превращаются в профиль с чувствительными сведениями, который помогает осуществлять целевое мошенничество. Компаниям не следует собирать ненужные поля. Им необходимо регулярно удалять старые записи, обучать сотрудников службы поддержки противодействию попыткам социальной инженерии и оперативно отслеживать подозрительный доступ к данным.

Поскольку запись не содержит пароля, первые действия не должны сводиться только к его смене. Следует проявлять повышенную осторожность в отношении возможных поддельных звонков, сообщений и акций, для которых могут использоваться номера телефонов, адреса, даты рождения и сведения о покупках.

Правильный порядок действий, сначала усилить защиту электронной почты и телефона, затем проверить настройки восстановления доступа к электронным кошелькам, банковским сервисам, доставке и государственным услугам. Пользователю следует проверить незнакомые входы в сервисы, где используется тот же адрес электронной почты, что и в MyPertamina, и удалить устаревшие персональные данные из ненужных аккаунтов. Тем, кто использует корпоративную почту, следует сообщить об этом результате команде безопасности. Со стороны компании необходимо внедрить мониторинг домена, оповещения о рискованных входах и проверки осведомлённости сотрудников.