Утечка данных NapsGear в 2015 году

В эту утечку вошли адреса электронной почты, имена, номера телефонов и почтовые адреса, а также даты рождения, сведения о поле, информация о покупках и хеши паролей. Адреса электронной почты и хеши паролей создают риск захвата аккаунтов. MD5 с солью можно считать слабым методом по современным стандартам хранения паролей: слабые или повторно используемые пароли со временем могут быть восстановлены из хешей и опробованы в других сервисах.

Адреса, телефоны и история покупок позволяют проводить более персонализированные атаки. Злоумышленники могут использовать реальные данные клиентов при подготовке поддельных уведомлений о доставке, подтверждений оплаты, сообщений об отмене заказов, возврате товаров или сообщений с угрозами. Дополнительные сведения, такие как дата рождения и пол, могут сделать сообщения, построенные на социальной инженерии, убедительнее. Поэтому эффективная защита не сводится к смене паролей: она также должна включать безопасное общение и защиту частной жизни.

В этой записи дата инцидента указана как 21 октября 2015 года, дата добавления в набор данных (10 сентября 2018 года, а число затронутых аккаунтов) 287 071. Подтверждённые поля включают даты рождения, адреса электронной почты, сведения о поле, имена, пароли, номера телефонов, почтовые адреса и информацию о покупках. Запись следует отметить как подтверждённую и содержащую конфиденциальные данные, поскольку в ней сочетаются личные контактные данные и сведения о покупках.

Для этого инцидента сведения о банковских счетах, номера официальных удостоверений личности, медицинские записи, полные данные платёжных карт и содержимое личных сообщений не входят в число подтверждённых полей. Информация о покупках, не то же самое, что данные платёжной карты: это сведения о том, что купил пользователь, или об обстоятельствах заказа. Поле пароля также не следует описывать как пароль в открытом виде. Соблюдение этих ограничений позволяет пользователю увидеть реальный риск и не поддаваться излишней панике из-за неподтверждённых утверждений.

Наибольшему риску подвергаются пользователи, которые используют пароль от аккаунта NapsGear также для электронной почты, социальных сетей, магазинов, форумов или финансовых сервисов. Если пароль удастся восстановить из хеша, его могут опробовать в других сервисах. Если на один адрес электронной почты зарегистрировано много аккаунтов, злоумышленники могут использовать эти сведения для автоматизированных попыток входа и поддельных уведомлений о безопасности.

Пользователи, чьи адреса, номера телефонов и история покупок раскрыты, также сталкиваются с риском для частной жизни. Из-за категории товаров NapsGear некоторые люди могут пострадать, если сведения об их покупках станут известны семье, коллегам или местному сообществу. Адрес доставки и номер телефона могут позволить определить физическое местонахождение человека или оказывать на него давление через прямые звонки. Для клиентов, использующих корпоративную электронную почту, эти сведения также могут позволить связать их личные данные с профессиональной деятельностью.

Пользователь, для которого найдено совпадение, должен прежде всего убедиться, что старый пароль от аккаунта NapsGear больше не действует ни в одном другом аккаунте. Если такой же или похожий пароль используется где-либо ещё, его следует заменить уникальным паролем с устройства, не заражённого вредоносным ПО. В первую очередь следует проверить аккаунты электронной почты, менеджеров паролей, финансовых сервисов и магазинов. Везде, где это возможно, следует включить многофакторную защиту.

Следует внимательно относиться к сообщениям по телефону или электронной почте, касающимся заказов, доставки, оплаты, возвратов, таможни, безопасности или содержащим угрозы. Вместо перехода по ссылкам из сообщения нужно вручную ввести известный домен, а запросы на оплату или передачу кодов подтверждения проверить через независимый канал. Неожиданные уведомления об отправке товаров и попытки давления на человека следует воспринимать серьёзно, учитывая, что его физический адрес мог попасть в утечку.

Инцидент NapsGear показывает, что данные, хранящиеся в аккаунтах магазинов, важны не только для безопасности платежей, но и для защиты частной жизни и личной безопасности. Пользователям стоит выбирать отдельные адреса электронной почты для покупок товаров деликатных категорий, по возможности не указывать одни и те же номера телефонов и адреса без необходимости, закрывать старые аккаунты и регулярно проверять уведомления о покупках. Использование менеджера паролей, позволяющего назначить отдельный пароль каждому сервису, одна из основных мер защиты.

Для розничных сервисов главный вывод, необходимость минимизации данных. Длительное хранение лишних персональных полей после выполнения заказа усиливает последствия для пользователей. Хеши паролей следует защищать надёжными современными методами, объём старых данных о заказах и доставке (сокращать, когда необходимость в них отпадает, а план уведомления клиентов) держать наготове. Для деликатных категорий товаров безопасная политика хранения записей напрямую связана с безопасностью пользователей.

Если проверка адреса электронной почты на LeakData находит совпадение в утечке NapsGear, это означает, что соответствующий адрес включён в набор данных, охватывающий 287 071 аккаунт. Положительный результат указывает на риск, связанный с электронной почтой, именем, телефоном, почтовым адресом, датой рождения, сведениями о поле, информацией о покупках и хешами паролей. Отрицательный результат означает лишь, что в этом конкретном наборе данных совпадение не найдено; он не исключает других утечек из магазинов или форумов.

Правильные действия, отказаться от старого пароля, сменить повторно используемые пароли, надёжно защитить аккаунт электронной почты, остерегаться поддельных сообщений, связанных с телефоном и доставкой, отслеживать неправомерное использование адресных данных и не отвечать на сообщения, в которых оказывают давление, угрожая раскрытием личной информации. Эту запись следует рассматривать как подтверждённую утечку конфиденциальных данных в контексте розничной торговли; она должна давать пользователю ясные рекомендации как по защите аккаунтов, так и по личной безопасности.