Операция Endgame

Проверенный набор содержал адреса электронной почты и данные паролей. В набор, предоставленный правоохранительными органами, вошли 16 466 858 уникальных адресов электронной почты и приблизительно 13,5 миллиона уникальных паролей. Пароли были представлены в виде хешей SHA-1 и NTLM, а не открытого текста. Они не находились рядом с адресами электронной почты и не образовывали с ними пары, относящиеся к конкретным аккаунтам. Поэтому количество записей означает число уникальных адресов электронной почты, а не такое же число уникальных людей или сочетаний адреса и пароля. Единственные подтверждённые категории данных, адреса электронной почты и пароли. Операция Endgame не является утечкой из базы данных какой-либо компании. Это запись об инциденте, связанном с вредоносным ПО, составленная на основе данных, изъятых на различных объектах преступной инфраструктуры, чтобы потенциальные пострадавшие могли узнать о раскрытии своих данных.

В конце мая 2024 года правоохранительные органы разных стран и команды частного сектора начали скоординированную операцию Endgame против инфраструктуры, которую использовали загрузчики вредоносного ПО, в том числе IcedID, SystemBC, Pikabot, Smokeloader и Bumblebee. Были арестованы четыре человека, а по всему миру отключено более ста серверов либо нарушена их работа. Найденные в изъятых данных адреса электронной почты и хеши паролей затем передали для использования в безопасном процессе уведомления, чтобы потенциальные пострадавшие могли проверить, были ли раскрыты их данные. Связь между хешами паролей и адресами электронной почты была удалена, поэтому по этому набору невозможно установить, какой пароль относился к конкретному адресу. Основная дата записи, 30 мая 2024 года, соответствует публичному объявлению об операции и передаче данных. В записи не утверждается, что был взломан какой-либо конкретный сайт или что все данные были получены с помощью одного семейства вредоносного ПО.

Наибольшему риску подвержены люди, чьи устройства могли быть затронуты деятельностью ботнетов или вредоносного ПО и которые использовали один пароль в нескольких сервисах. Само по себе совпадение адреса электронной почты не доказывает, что конкретный пароль был опубликован вместе с этим адресом, что аккаунт всё ещё скомпрометирован или что на устройстве по-прежнему работает вредоносное ПО. Однако любой старый пароль, который продолжает использоваться в других аккаунтах, может быть использован для автоматизированных попыток входа и захвата аккаунтов. Наличие адреса в данных, связанных с преступной инфраструктурой, также может способствовать целевому фишингу, рассылке поддельных предупреждений безопасности, ловушкам под видом сброса пароля и мошенническим предложениям очистить устройство. Любой результат следует оценивать с учётом ключевого ограничения: набор адресов электронной почты и отдельный набор паролей не были связаны друг с другом.

Если обнаружено совпадение, прежде чем менять учётные данные, убедитесь в безопасности используемых устройств. Иначе активное вредоносное ПО может перехватить новые данные. Обновите операционную систему, браузер и приложения, выполните полное сканирование с помощью надёжного защитного ПО и удалите незнакомые расширения браузера, элементы автозагрузки и инструменты удалённого доступа. Если подозрительное поведение сохраняется, отключите устройство от сети и рассмотрите возможность проверки специалистом или чистой установки системы. С устройства, которому вы доверяете, измените учётные данные важных сервисов, начиная с основного почтового аккаунта. Замените каждый повторно используемый пароль уникальным, случайно сгенерированным паролем: небольших изменений недостаточно. Завершите активные сеансы, проверьте адреса для восстановления доступа и правила пересылки, а также включите многофакторную аутентификацию или ключи доступа везде, где они доступны. Открывайте сервисы самостоятельно, а не входите в них по ссылкам из предупреждающих сообщений.

Используйте менеджер паролей, чтобы создавать длинный уникальный пароль для каждого аккаунта: тогда кража одного пароля не приведёт к компрометации других сервисов. Для почтовых, финансовых и административных аккаунтов отдавайте предпочтение устойчивым к фишингу аппаратным ключам безопасности или ключам доступа. Держите включёнными автоматические обновления, межсетевые экраны и защиту в реальном времени, скачивайте ПО только из официальных источников и не запускайте файлы из вложений, которых вы не ожидали. Регулярно проверяйте сохранённые в браузере пароли, сеансы и расширения. Организации могут снизить последствия кражи учётных данных вредоносным ПО с помощью централизованно управляемой защиты конечных устройств, централизованного журналирования, контроля привилегированного доступа и обязательной многофакторной аутентификации. Проверенные резервные копии, хранящиеся вне сети, помогают восстановиться, если загрузчик вредоносного ПО приводит к заражению программой-вымогателем. Не доверяйте отправителю только потому, что он знает настоящий адрес электронной почты. Проверяйте уведомления безопасности по независимому каналу и самостоятельно открывайте известный вам домен сервиса.

Используйте защищённое поле поиска на этой странице, чтобы проверить каждый действующий и прежний адрес электронной почты, которым вы пользовались примерно в период операции Endgame. Совпадение означает, что адрес присутствует среди 16 466 858 уникальных адресов электронной почты, переданных по итогам операции правоохранительных органов. Это не означает, что с адресом был связан конкретный хеш пароля или что ваше устройство сейчас заражено. Если вы получили результат, сначала убедитесь в безопасности устройства, а затем замените старые пароли, которые использовались повторно. После этого проверьте сеансы почтового аккаунта и настройки восстановления доступа и включите многофакторную аутентификацию для важных аккаунтов. Поскольку в этом наборе пароли были отделены от адресов, проверяйте возможное раскрытие паролей отдельно, с помощью проверки, сохраняющей конфиденциальность, или надёжного менеджера паролей. Никогда не вводите в поле поиска пароль, хеш пароля, одноразовый код или платёжные данные. Отсутствие результата не даёт абсолютной гарантии безопасности: ваши данные могут быть связаны с другим адресом, ещё не выявленным набором данных вредоносного ПО или другим инцидентом. Если устройство проявляет подозрительные симптомы, не ограничивайтесь сменой учётных данных аккаунтов, проверьте и само устройство.