Не SOCRadar

Единственный подтверждённый тип данных, адреса электронной почты. Пароли, хеши паролей, номера телефонов, физические адреса, платёжные сведения, документы, удостоверяющие личность, и содержимое аккаунтов не входят в число подтверждённых полей этого набора данных. Хотя речь идёт всего об одном поле, адрес электронной почты служит важной отправной точкой в цепочках атак. Наличие адреса в списке может показать злоумышленнику, что за ним стоит реальный пользователь, связанный с определённым доменом.

Адреса электронной почты используются, в частности, для целевого фишинга, массовой рассылки спама, попыток сброса пароля, проверки регистрации аккаунтов и сопоставления с прежними утечками. Корпоративные адреса могут дать подсказки об имени сотрудника, его отделе или компании. Личные адреса, в свою очередь, могут пытаться сопоставить с аккаунтами в социальных сетях, интернет-магазинах, финансовых сервисах и сервисах поиска работы. Поэтому, даже если подтверждено только поле электронной почты, масштаб набора данных и возможности злоупотребления обусловливают высокий уровень риска.

Подтверждённый объём составляет 282 478 425 уникальных адресов электронной почты в корректном формате. При первоначальной публикации было заявлено большее число строк, однако с точки зрения пользователя учитывать следует именно число уникальных адресов. Датой инцидента считается 3 августа 2024 года, а в надёжные списки он был добавлен 9 августа 2024 года. Последняя дата также совпадает с датой последнего подтверждённого изменения.

Необходимо чётко разграничивать, что именно подтверждено в этом инциденте: проверка подтверждает раскрытие списка адресов электронной почты, но не взлом систем безопасности SOCRadar. В описании следует избегать категоричных утверждений о том, что клиенты компании оказались под прямой угрозой, внутренние системы были скомпрометированы или конфиденциальные данные клиентов были похищены. Название записи также должно отражать это различие: пользователю следует сообщать прежде всего о риске, связанном с обширным списком адресов электронной почты, а не о предполагаемом взломе организации.

В группу риска входят частные пользователи, чьи адреса электронной почты попали в список, а также владельцы адресов в корпоративных доменах. Рабочие адреса могут стать целями сообщений, в которых злоумышленники выдают себя за представителей отделов продаж, бухгалтерии, поддержки, кадровой службы или руководства. На общие почтовые ящики также могут поступать поддельные предложения и счета, мнимые предупреждения о безопасности или сообщения об обмене файлами.

Риск для личных адресов возрастает, если один и тот же адрес используется в разных сервисах. Злоумышленники могут объединить эти адреса с ранее утёкшими списками паролей, чтобы предпринять попытки захвата аккаунтов. Поскольку единственный тип данных, электронная почта, нельзя утверждать, что в результате этого инцидента были раскрыты финансовые сведения человека или данные его официальных документов. Однако включение адреса в подтверждённый список целей может сделать вредоносные сообщения, поступающие в почтовый ящик, более убедительными.

Пользователям, для которых найдено совпадение, следует в первую очередь проверить безопасность своего почтового аккаунта. Пароль должен быть уникальным и надёжным; его не следует использовать в других сервисах. Необходимо включить двухфакторную аутентификацию, поддерживать актуальность резервного адреса электронной почты и номера телефона для восстановления доступа, а также завершить неизвестные сеансы. Хотя раскрытие одного лишь адреса электронной почты не требует смены пароля, такая проверка приоритетна, поскольку почтовый аккаунт используется для восстановления доступа ко многим другим аккаунтам.

Следующий шаг, безопасное обращение с входящей почтой. Прежде чем переходить по ссылкам в сообщениях об оплате, счетах, доставке, предупреждениях о безопасности, обмене файлами и подтверждении аккаунтов, пользователям следует проверить домен отправителя и контекст сообщения. Организациям следует воспринимать этот инцидент как сигнал к пересмотру правил защиты электронной почты, повышению осведомлённости сотрудников и обновлению списков адресов с высоким уровнем риска. Неожиданные вложения не следует открывать, а сообщения с просьбой предоставить коды входа необходимо проверять через другой канал связи.

В долгосрочной перспективе пользователям стоит рассмотреть возможность использования уникальных почтовых псевдонимов или отдельных контактных адресов для важных аккаунтов. Привязка критически важных финансовых и рабочих аккаунтов, а также аккаунтов руководителей к одному общему адресу создаёт риск. Использование менеджера паролей, создание разных паролей для каждого аккаунта и закрытие старых аккаунтов снижают риски раскрытия данных. На уровне компании корректное поддержание настроек DMARC, SPF и DKIM уменьшает риск подделки отправителя.

Со временем крупные списки адресов электронной почты могут объединяться с другими наборами данных. Поэтому подход к безопасности не должен ограничиваться только этим инцидентом. Следует регулярно проверять, не появляется ли тот же адрес в других утечках, содержащих пароли, имена пользователей, номера телефонов или адреса. Решения для защиты почты должны блокировать опасные ссылки и вложения, обучение сотрудников следует подкреплять реалистичными сценариями фишинга, а для аккаунтов с высокими привилегиями необходимо применять дополнительную проверку при входе.

Положительный результат проверки в LeakData означает, что адрес электронной почты найден в наборе данных «Не SOCRadar». Этот результат не указывает на наличие у пользователя аккаунта в сервисе SOCRadar или на то, что он является клиентом компании. Он означает, что адрес входит в крупный список электронной почты и вероятность его неправомерного использования повышена. Пользователю следует усилить защиту входа, особенно в важные аккаунты, связанные с тем же адресом.

Отрицательный результат означает, что в этом наборе данных совпадение не найдено. Однако тот же адрес может появляться в других списках в другое время. Поэтому следует продолжать регулярные проверки, использовать уникальные пароли и двухэтапную проверку, а также осторожно обращаться с электронной почтой. Корпоративным командам безопасности следует рассматривать присутствие в таких списках адресов с доменами организации как ранний сигнал для усиления защиты от спама и фишинга.