Утечка данных ParkMobile

Подтвержденные категории данных, адреса электронной почты, имена, номера телефонов, автомобильные госномера, хеши паролей bcrypt, почтовые адреса и сведения об автомобилях. Почтовые адреса присутствовали лишь у небольшой доли пользователей, а сведения об автомобилях включали название, заданное пользователем, если оно было указано. Пароли не были представлены открытым текстом: раскрытые значения были хешами bcrypt с добавлением соли. Bcrypt замедляет перебор паролей без обращения к сервису, но не устраняет риски, связанные со слабыми или короткими паролями. Сочетание адреса электронной почты, номера телефона, госномера и сведений об автомобиле может сделать более убедительными поддельные сообщения о штрафах за парковку, оплате или регистрации автомобиля, а также сообщения якобы от службы поддержки. По результатам официального расследования было заявлено, что доступа к данным кредитных карт и истории парковочных операций не было, а сервис не собирал номера социального страхования, номера водительских удостоверений и даты рождения.

ParkMobile сообщила, что в марте 2021 года узнала об инциденте кибербезопасности, связанном с уязвимостью в стороннем программном обеспечении, и быстро устранила эту уязвимость. Компания опубликовала первое уведомление 26 марта, привлекла внешних специалистов по безопасности и уведомила правоохранительные органы. Последующее расследование подтвердило доступ к основным сведениям о пользователях и хешам паролей. Позднее данные примерно 21 миллиона клиентов были предложены на криминальном форуме, а затем получили широкое распространение; подтвержденный набор данных содержит 20 949 825 уникальных записей об аккаунтах. В полях паролей находились хеши bcrypt, и компания заявила, что защищала их с помощью технологий хеширования и добавления соли. При независимом изучении данных в некоторых записях были обнаружены почтовые адреса и госномера, связанные с несколькими автомобилями.

Утечка напрямую затронула тех, кто создал аккаунт до марта 2021 года через ParkMobile или приложение, работающее под брендом города либо оператора. Риск захвата аккаунтов выше для пользователей, которые использовали тот же пароль в других сервисах, выбрали короткий или предсказуемый пароль либо не включили многофакторную аутентификацию для электронной почты. Госномер и заданное пользователем название автомобиля придают убедительности поддельным сообщениям о штрафах за парковку, продлении времени парковки или возврате средств. Пользователи, чей номер телефона присутствовал в данных, могут получать фишинговые текстовые сообщения или звонки. Для меньшей группы пользователей, чьи почтовые адреса были раскрыты, возможны мошеннические счета или бумажные письма. Сам по себе госномер не раскрывает текущее местоположение автомобиля, а история парковочных операций не входила в число данных, к которым был получен доступ. Даже если имя или адрес отсутствуют, другие поля из подтвержденных категорий данных все равно могли быть раскрыты.

Если вы использовали свой пароль ParkMobile 2021 года в других сервисах, немедленно смените пароли в этих аккаунтах. Создайте длинный уникальный пароль для каждого сервиса, храните его в надежном менеджере паролей и включите многофакторную аутентификацию, особенно для электронной почты. Если аккаунт ParkMobile все еще активен, проверьте текущий способ входа и данные для восстановления доступа через официальное приложение или сайт на официальном домене; не входите в аккаунт по ссылке из сообщения. Проверяйте неожиданные уведомления о штрафах за парковку, запросы на продление времени парковки, предложения подтвердить сведения об автомобиле, обновления госномеров или уведомления о возврате средств внутри приложения. Хотя в этом инциденте доступа к данным карт не было, злоумышленники все равно могут использовать его как повод направить пользователей на поддельные платежные страницы; не сообщайте код безопасности или пароль без независимой проверки. Если вы заметили подозрительный доступ, завершите активные сеансы и замените пароли, созданные по тому же шаблону.

Если для каждого онлайн-сервиса используется отдельный пароль, взлом одного хеша bcrypt не даст доступа к другим аккаунтам. Менеджер паролей упрощает использование длинных случайных паролей, а многофакторная аутентификация не позволяет войти в аккаунт лишь с помощью раскрытого пароля. Поддерживайте в актуальном состоянии способы восстановления доступа к электронной почте, включите уведомления о новых сеансах и проверяйте незнакомые правила переадресации. Удаляйте из аккаунтов в сервисах мобильности неиспользуемые автомобили, старые госномера и устаревшие контактные данные, а ненужные аккаунты закрывайте. Сервисам парковки и транспорта следует вести учет сторонних компонентов, отслеживать исправления и ограничивать доступ, а также контролировать массовые выгрузки и необычные запросы. Системы работы с паролями должны использовать уникальную соль для каждого пользователя, подходящие параметры вычислительной сложности и правила повторного хеширования по мере роста производительности оборудования.

Проверьте свой адрес электронной почты с помощью LeakData, чтобы узнать, присутствует ли он в данных утечки ParkMobile или другой известной утечки. Совпадение не означает, что данные вашей кредитной карты или история парковок были раскрыты; оно указывает на то, что адрес присутствовал в подтвержденном наборе данных аккаунтов. Выбирая меры защиты, исходите из семи перечисленных категорий данных и не считайте раскрытыми поля, исключенные по результатам официального расследования. Если совпадение найдено, выясните, использовался ли пароль 2021 года в других сервисах, и в первую очередь защитите электронную почту и аккаунты, связанные с платежами. Просмотрите недавние сообщения о парковке, госномерах, возврате средств и штрафах и открывайте официальное приложение вместо перехода по ссылкам в сообщениях. Постоянно используйте уникальные пароли и многофакторную аутентификацию, а подозрительные платежные ссылки проверяйте независимо.