MySpace: утечка данных 2008 года

Подтвержденные категории данных, адреса электронной почты, пароли и имена пользователей. Адрес электронной почты сам по себе позволяет проводить массовые атаки, а имя пользователя может помочь сопоставить следы старых профилей человека на разных платформах. По сообщениям, поле пароля хранилось в устаревшем формате на основе SHA-1, без соли и с ограничением первыми 10 символами. По современным стандартам такая схема хранения ненадежна. Она особенно повышает риск взлома коротких паролей, паролей на основе словарных слов и паролей, повторно используемых в других аккаунтах.

Последствия этой утечки не ограничиваются возможностью получить доступ к аккаунту MySpace. Большинство пользователей могло на протяжении многих лет повторно использовать старые пароли в электронной почте, на форумах, в играх, интернет-магазинах или социальных сетях. Злоумышленники могут пробовать одни и те же пары «адрес электронной почты, пароль» на разных сервисах, пытаясь получить доступ к аккаунтам. Имена пользователей также могут помочь установить прежнюю онлайн-личность жертвы, составить поддельные сообщения от службы поддержки или вызвать доверие с помощью ссылок на старые профили.

Дата утечки указана в системе как 1 июля 2008 года. Набор данных был выставлен на продажу в мае 2016 года и в тот же период добавлен в системы поиска по подтвержденным данным. Подтвержденная дата добавления и последнего изменения: 31 мая 2016 года. Число затронутых аккаунтов принято равным 359 420 698. В разных отчетах могут встречаться более высокие исходные значения количества паролей: некоторые аккаунты могли содержать несколько полей с паролями, и при оценке было установлено, что число записей не совпадает с числом паролей.

В официальном уведомлении пользователей было указано, что данные кредитных карт и финансовая информация не собираются и что такие финансовые данные не затронуты инцидентом. Поэтому его не следует представлять как утечку данных платежных карт или банковских данных. Сведения о здоровье, содержимое личных сообщений, номера удостоверений личности и номера телефонов также не входят в число подтвержденных категорий данных. Для достоверной оценки охват ограничен адресами электронной почты, именами пользователей и паролями; дополнительные типы данных, которые могли бы вызвать у пользователей необоснованную панику, не включаются.

Наибольшему риску подвержены те, кто создал аккаунт MySpace до 2013 года и использовал тот же или похожий пароль на других сервисах. Пользователи, чей старый адрес электронной почты все еще активен, могут столкнуться с попытками подбора паролей к другим аккаунтам, созданным с этим адресом. Для тех, кто использовал свое старое имя пользователя на разных платформах, повышается риск сопоставления их профилей. Пользователям, сохранявшим один и тот же псевдоним, особенно на музыкальных платформах, форумах, в играх и социальных сетях, легче стать целью атак.

Риск касается не только тех, кто активно пользуется своими аккаунтами. Заброшенные аккаунты, забытые адреса электронной почты и старые пароли могут попасть в списки, которые злоумышленники используют для автоматизированных попыток входа. Если почтовый аккаунт все еще доступен, пароли, похожие на старые пароли MySpace, могут проверяться на других аккаунтах. Люди, которые в прошлом использовали рабочую электронную почту в личных аккаунтах социальных сетей, также могут стать объектами целевых атак, связанных с их принадлежностью к организации. Давность данных не устраняет риск: повторное использование паролей, уязвимость, которая может сохраняться годами.

В первую очередь проверьте, не используются ли на других сервисах пароли, которые вы применяли в аккаунте MySpace, или похожие на них. Для каждого аккаунта с таким же или похожим паролем следует задать уникальный и надежный пароль. Начните с электронной почты, социальных сетей, облачных хранилищ, финансовых сервисов и рабочих аккаунтов. Адреса электронной почты и номера телефонов для восстановления доступа должны быть актуальными. Завершите неизвестные сеансы и включите двухфакторную аутентификацию везде, где это возможно.

Если у вас есть доступ к старому аккаунту MySpace, сбросьте пароль, сократите объем ненужной личной информации в профиле и удалите связи, которыми больше не пользуетесь. Если доступа нет, изучите историю безопасности важных аккаунтов, связанных с тем же адресом электронной почты. Менеджер паролей упрощает создание уникального пароля для каждого сервиса. Если во входящих сообщениях появляются письма, нацеленные на ваш старый аккаунт MySpace или то же имя пользователя, рекомендуется отдельно проверить аккаунт через официальную страницу входа, не переходя по ссылкам из писем.

Этот инцидент показывает, что старые аккаунты в социальных сетях могут представлять угрозу безопасности даже спустя много лет. Неиспользуемые аккаунты следует закрыть или как минимум защитить уникальным паролем и двухфакторной аутентификацией. Если с одним адресом электронной почты было создано много старых аккаунтов, для важных сервисов можно выбрать отдельный адрес или почтовый псевдоним. Поскольку одинаковое имя пользователя на разных платформах облегчает сопоставление профилей, для конфиденциальных или профессиональных аккаунтов безопаснее придерживаться иной стратегии выбора имен.

Организациям следует исходить из того, что старые пароли от социальных сетей могли использоваться и в аккаунтах сотрудников. Командам безопасности необходимо внедрить постоянные проверки на повторное использование паролей, строгие требования к паролям, обязательную двухфакторную аутентификацию и отслеживание подозрительных попыток входа. Обычным пользователям также стоит вести список старых аккаунтов, регулярно просматривать историю сеансов в важных аккаунтах и менять пароли не только после утечки, но и в рамках регулярного поддержания безопасности. Хотя вспомнить старые пароли бывает трудно, использование новых уникальных паролей с помощью менеджера паролей снижает риск на долгосрочной основе.

Положительный результат проверки означает, что адрес электронной почты, имя пользователя или пароль, связанные с вашим аккаунтом MySpace, присутствуют в подтвержденном наборе данных. Такой результат не означает, что произошла утечка вашей финансовой информации или личных сообщений. Главное, исключить возможность повторного использования того же пароля на других сервисах. Сначала защитите электронную почту и важные сервисы, затем проверьте старые аккаунты в социальных сетях и на форумах.

Отрицательный результат проверки означает лишь то, что в этом наборе данных не найдено совпадений; он не исключает полностью риск, связанный с другими инцидентами в прошлом. Если вы создали много старых аккаунтов с одним адресом электронной почты, все равно возьмите за правило использовать уникальные пароли и двухфакторную аутентификацию. Инцидент с MySpace показал, что даже забытые аккаунты могут спустя годы влиять на безопасность личных данных и паролей. Поэтому наиболее разумный подход, убедиться, что старые пароли не используются повторно ни на одном важном сервисе.