Утечка данных Otelier

В этой записи представлены следующие типы данных: адреса электронной почты, имена, частичные данные кредитных карт, номера телефонов, физические адреса, сведения о покупках и планы поездок. Наличие поля пароля не было подтверждено; риски связаны с бронированием и поездками. Неподтверждённые поля с данными платёжных карт, банковских счетов, личных сообщений, медицинских записей или дополнительными сведениями профиля не добавлялись в список категорий данных; были сохранены только поля, наличие которых подтверждалось.

Даты поездок и сведения о гостиницах могут сделать поддельные сообщения о бронировании, регистрации заезда, обновлении платёжных данных или программе лояльности убедительными. Даже один адрес электронной почты создаёт риск нежелательных сообщений; в сочетании с номером телефона, адресом, IP, датой рождения, паролем, планом поездки, частичными данными карты или данными устройства он позволяет злоумышленнику легче составить персонализированное сообщение для пользователя. При оценке риска учитывался этот совокупный эффект.

Подтверждённый объём утечки за июль 2024 года составляет примерно 436 855 адресов электронной почты клиентов. Подтверждённые поля были сохранены, а неподтверждённые исключены. Инцидент не объединяли с наборами данных с похожими названиями, событиями, затронувшими ту же компанию в другие периоды, или некорректными отраслевыми привязками.

В эту запись не включались дополнительные адреса электронной почты, сформированные на других платформах; она была ограничена подтверждёнными данными клиентов на стороне Otelier. Доменное имя, название компании и сведения об отрасли были указаны в максимально узком и точном контексте. При наличии неопределённости флаг подтверждения или поле веб-сайта задавались соответствующим образом, чтобы пользователь не получал неоднозначную информацию об ответственности бренда.

К группам риска могут относиться клиенты с гостиничными бронированиями, деловые путешественники и клиенты гостиничных брендов, использующих инфраструктуру Otelier. Пользователям, у которых обнаружено совпадение, следует также оценить другие аккаунты, где они используют тот же адрес электронной почты, номер телефона, имя пользователя или шаблон пароля за пределами затронутого сервиса.

С точки зрения физической безопасности и мошенничества сведения о планах поездок более чувствительны, чем обычные контактные данные. Если сведения связаны с корпоративной почтой, учебным аккаунтом, бронированием гостиницы, подпиской на услуги связи, игровым сообществом, пожертвованием проекту с открытым исходным кодом или программным обеспечением для мониторинга, риск социальной инженерии может возрасти. Детали, которые выглядят достоверными, сами по себе не означают, что сообщению можно доверять.

Затронутым пользователям следует проверять сообщения о бронировании гостиниц, регистрации заезда, обновлении платёжных данных и программах лояльности непосредственно через гостиницу или канал бронирования. Для записей с полем пароля следует сменить пароль во всех аккаунтах, где используется тот же пароль; для записей без поля пароля основное внимание следует уделить рискам, связанным с электронной почтой, телефоном, фишингом, приватностью и установлением личности по совпадающим данным.

Вместо перехода по ссылкам в сообщении следует вручную ввести адрес соответствующего сервиса или воспользоваться записью в доверенном менеджере паролей. Сообщения о доставке, предупреждениях об аккаунте, игровых наградах, поддержке, уведомлениях для жертвователей, бронировании поездок, уведомлениях безопасности или продлении подписок не следует принимать на веру без проверки через независимый канал.

Для аккаунтов, связанных с поездками, следует использовать разные пароли, а также навести порядок в уведомлениях о платежах и удалить ненужные сохранённые адреса. Пользователям следует регулярно наводить порядок в старых аккаунтах, удалять ненужные поля профиля, повторяющиеся имена пользователя и устаревшие сведения о телефонах и адресах. Уникальный пароль для каждого сервиса и двухэтапная проверка там, где она доступна, должны стать основным правилом.

Поставщикам услуг необходимы минимизация данных, надёжная защита паролей, мониторинг журналов доступа, удаление ненужных полей и заранее подготовленные процессы уведомления пользователей. В гостиничном программном обеспечении для планов поездок и частичных данных карт требуются строгие сроки хранения и контроль доступа. Точное описание объёма утечки также является частью работы по обеспечению безопасности: преувеличенная или неполная информация может побудить пользователя к неверным действиям.

Сначала проверьте эту запись по своему адресу электронной почты. Если найдено совпадение, следует исходить из того, что планы поездок, адрес, номер телефона и частичные данные карты могут быть под угрозой; сообщения о бронировании следует внимательно проверять. Отсутствие совпадения не исключает полностью использование другого адреса электронной почты или повторное использование старого пароля; важные аккаунты также следует проверить.

Эта запись была проверена и обновлена с отметкой о чувствительности данных. В ходе этого редактирования поля данных были оставлены в виде канонических категорий на английском языке, видимое пользователю описание было написано на турецком языке и представляло собой оригинальный текст, неподтверждённые поля не добавлялись, а флаг чувствительности использовался только тогда, когда это было обосновано характером риска.