Список данных для спам-рассылок: Onliner Spambot

Для инцидента Onliner Spambot подтверждены следующие категории данных: адреса электронной почты и пароли. Адреса электронной почты могут использоваться для рассылки спама, фишинга и выбора целей для атак. В сочетании со сведениями о паролях риск становится серьёзнее: злоумышленники могут пытаться захватить аккаунты, проверяя одну и ту же пару адреса электронной почты и пароля на разных сервисах. Такие атаки особенно опасны для тех, кто использует один пароль в разных аккаунтах. Риск может затрагивать почтовые аккаунты, социальные сети, аккаунты в интернет-магазинах и играх, облачные хранилища и рабочие инструменты.

В этом наборе данных такие поля, как номер телефона, физический адрес, данные платёжной карты, номер официального удостоверения личности или личное сообщение, не входят в число подтверждённых категорий данных. Основной риск связан с сочетанием адреса электронной почты и пароля. Для каждого отдельного пользователя может быть неясно, хранится ли пароль в открытом виде или в другом формате. Однако наличие поля с паролем требует как можно скорее сменить пароли, используемые повторно. Если старые пароли по-прежнему используются в других аккаунтах, риск для безопасности сохраняется даже спустя годы после инцидента.

Связь со спам-ботом создаёт и другой вид угрозы. Почтовые аккаунты, к которым злоумышленники получили доступ или подобрали пароль, могут использоваться для отправки вредоносных сообщений. Это может затронуть не только владельца аккаунта, но и друзей, клиентов или коллег, получающих от него письма. Поддельный счёт, уведомление о доставке, приглашение на встречу или предупреждение о безопасности со знакомого адреса может выглядеть убедительнее. Поэтому совпадение с данными Onliner Spambot указывает не только на риск повторного использования пароля, но и на возможность злоупотребления почтовым аккаунтом.

Подтверждено, что набор данных Onliner Spambot от 28 августа 2017 года затрагивает 711 477 622 уникальных аккаунта, был добавлен в реестр подтверждённых утечек данных 29 августа 2017 года, а раскрытые поля содержат адреса электронной почты и пароли. Эта запись относится к списку для рассылки спама, а не к клиентской базе конкретной организации. Поэтому поля домена и сайта обоснованно остаются пустыми: инцидент не следует связывать с одним брендом или одной системой пользовательских аккаунтов.

Этот инцидент не предполагает, что пользователи регистрировались на сайте с соответствующим названием. Адрес электронной почты мог попасть в списки из разных источников, а затем использоваться или проверяться в ходе спам-операции. Поэтому совпадение на экране результатов не означает, что пользователь зарегистрировался в сервисе под названием Onliner Spambot. Более точная трактовка: адрес, а также сведения о пароле, если они имеются, были обнаружены в файлах данных, задействованных в масштабной вредоносной почтовой операции.

Неподтверждённые поля данных не следует добавлять в список. Для этого инцидента нельзя сообщать пользователю, что были раскрыты данные платёжной карты, банковского счёта, сведения о здоровье, физический адрес или номер телефона, поскольку наличие этих данных не подтверждено. При этом поля с адресом электронной почты и паролем требуют решительных мер для обеспечения безопасности аккаунтов. Точное описание ограниченного объёма подтверждённых данных помогает избежать как необоснованной тревоги, так и недооценки реального риска повторного использования паролей.

Наибольшему риску подвержены люди, использующие один пароль в нескольких сервисах. Если пароль использовался на старом форуме, в интернет-магазине или игровом аккаунте, а затем повторно применялся для электронной почты, социальных сетей или рабочих аккаунтов, злоумышленники могут проверять эти данные в других системах. Если пользователь не помнит, где использовался пароль, следует начать с наиболее важных аккаунтов и перейти на уникальные пароли. В первую очередь нужно защитить почтовый аккаунт, поскольку он играет ключевую роль в сбросе паролей.

Вторая группа риска, сотрудники, чьи корпоративные адреса электронной почты присутствуют в наборе данных. Наличие адреса и пароля сотрудника в таком списке не доказывает, что злоумышленники получили прямой доступ к системам компании, но даёт им учётные данные, которые можно попытаться использовать. Многофакторная аутентификация и отслеживание неудачных попыток входа особенно важны для аккаунтов руководства, финансового отдела, отдела кадров, службы поддержки и технических команд. При большом числе совпадений для одного домена организациям следует проводить массовый сброс паролей и рассылать уведомления с разъяснением рисков.

Третья группа риска, люди, которые продолжают пользоваться старыми адресами электронной почты или прежними шаблонами паролей. Даже если утечка произошла давно, пользователь может по-прежнему создавать пароли для текущих аккаунтов по тому же шаблону. Злоумышленники могут сопоставлять старые списки с новыми наборами данных, чтобы найти действующие аккаунты. Поэтому нельзя ориентироваться только на 2017 год и считать, что риск остался в прошлом. Главный вопрос, используются ли те же данные в других аккаунтах сегодня.

Пользователям, чьи аккаунты обнаружены при проверке по данным Onliner Spambot, прежде всего следует сменить пароли во всех аккаунтах, где используется тот же или похожий пароль. Приоритет нужно отдать электронной почте, банковским аккаунтам, платёжным сервисам, социальным сетям, рабочим инструментам, облачным хранилищам и часто используемым аккаунтам в интернет-магазинах. Новые пароли должны быть уникальными, длинными и подходить для хранения в менеджере паролей. Повторное использование старого пароля с небольшими изменениями не обеспечивает достаточной защиты.

Второй шаг, включить многофакторную аутентификацию. Аутентификация через приложение или аппаратный ключ безопасности помогает защитить аккаунт, даже если пароль скомпрометирован. В настройках аккаунта следует проверить активные сеансы, незнакомые устройства, адреса электронной почты для восстановления доступа и недавнюю историю входов. Подозрительные сеансы нужно завершить, данные для восстановления (обновить, а правила пересылки почты) проверить.

Третий шаг, проявлять осторожность в отношении спама и мошеннических сообщений. Поскольку адреса, связанные с этим инцидентом, могут использоваться во вредоносных почтовых операциях, пользователям следует настороженно относиться к неожиданным вложениям, ссылкам на счета, уведомлениям о доставке и предупреждениям о безопасности аккаунтов. Вместо перехода по ссылке следует вручную вводить адрес нужного сервиса в браузере. Неожиданно полученные коды подтверждения нельзя сообщать кому-либо. Корпоративным пользователям следует передавать подозрительные сообщения команде безопасности.

Уникальный пароль для каждого аккаунта, основное правило долгосрочной защиты. Менеджер паролей упрощает управление надёжными случайными паролями для сотен разных аккаунтов. Пользователям следует отказаться от старых и повторяющихся паролей, оставлять уведомления о безопасности включёнными для важных аккаунтов и регулярно проверять свои данные на наличие в утечках. Так можно сделать сведения из списка спам-бота бесполезными для атак, не позволив угрозе затронуть другие аккаунты.

Для организаций долгосрочная стратегия заключается в регулярном отслеживании появления адресов электронной почты сотрудников во внешних наборах данных и приоритетной защите аккаунтов с повышенными правами доступа. Следует отслеживать неудачные попытки входа, входы из необычных мест, сеансы на новых устройствах и изменения правил пересылки почты. Сочетание обучения, направленного на сокращение повторного использования паролей, обязательной многофакторной аутентификации, контроля входа с учётом риска и поддержки ключей безопасности снижает вероятность захвата аккаунтов.

Этот инцидент также напоминает о ключевой роли почтового аккаунта в цифровой идентичности. Получив доступ к электронной почте, злоумышленник может запустить сброс пароля во многих сервисах. Поэтому необходимы уникальный пароль для почтового аккаунта, надёжная двухфакторная аутентификация, актуальные данные для восстановления доступа и регулярная проверка сеансов. Пользователям следует закрывать старые аккаунты, не использовать для доступа к важным сервисам адреса, которыми они больше не пользуются, и серьёзно относиться к предупреждениям о безопасности.

Если ваш адрес электронной почты найден в утечке данных Onliner Spambot, не воспринимайте это как указание на то, что вы регистрировались на определённом сайте. Более точная оценка: ваш адрес электронной почты, а в некоторых случаях и сведения о пароле, были обнаружены в наборах данных, использовавшихся во вредоносных спам-операциях. В первую очередь нужно выяснить, используется ли тот же пароль в других аккаунтах, и как можно скорее заменить повторяющиеся пароли.

Если проверка выявила совпадение, следует сменить пароли в наиболее важных аккаунтах, начиная с вашей электронной почты, включить многофакторную аутентификацию, проверить активные сеансы и отслеживать подозрительные сообщения. Мониторинг корпоративных адресов по домену помогает определить, какие аккаунты сотрудников подвержены наибольшему риску и требуют первоочередной защиты. Регулярная проверка записей помогает своевременно выявлять риск, возникающий при повторном использовании старых наборов данных в новых атаках.