Утечка данных Pass'Sport в 2025 году

В этой записи перечислены следующие поля данных: адреса электронной почты, пол, имена, номера телефонов и почтовые адреса. Поля с паролями, данными платёжных карт или банковских счетов не указаны. Основной риск, создание поддельных сообщений, связанных с поддержкой занятий спортом, помощью семьям, государственными программами, записью детей в спортивные секции или сведениями о домохозяйстве.

Поскольку программа Pass'Sport может быть связана с семьями, молодёжью, спортивными клубами и местными учреждениями, эти данные не следует рассматривать лишь как сведения об отдельном пользовательском аккаунте. Имея адреса и номера телефонов домохозяйств, злоумышленники могут готовить сообщения, которые выглядят как обращения по вопросам поддержки семей, спортивных ваучеров, продления регистрации, заполнения документов или выплаты помощи.

Поля с почтовыми адресами и номерами телефонов повышают риск мошенничества через SMS, звонки и письма. Вы можете получить сообщение о праве на поддержку, оплате услуг спортивного клуба, исправлении регистрационных данных, обновлении сведений о ребёнке или загрузке документа. Даже если в сообщении указан правильный адрес или достоверные сведения о семье, при запросе оплаты или идентификационных данных следует проверить обращение через официальный канал, прежде чем что-либо предпринимать.

Само по себе поле с указанием пола может не казаться особенно рискованным. Однако в сочетании с именем, адресом, номером телефона и сведениями о домохозяйстве оно может помочь персонализировать сообщения. Поскольку программа направлена на поддержку семей и занятий спортом, такие обращения могут также касаться процедур, связанных с детьми и молодёжью. Поэтому семьям следует с осторожностью относиться к неожиданным сообщениям о спортивных клубах, регистрации или поддержке.

Изначально эту запись связывали с другим учреждением. Это показывает, что путаница с источником данных в государственных программах может вводить пользователей в заблуждение. Пользователям следует точно выяснять, от какого учреждения пришло сообщение, к какой программе оно относится и зачем запрашиваются сведения. Само по себе использование официального названия учреждения не доказывает надёжность сообщения.

Для учреждений инцидент с Pass'Sport подчёркивает важность защиты контактных данных домохозяйств в государственных программах поддержки. При обмене данными между программами помощи, спортивными клубами, местными органами власти и семьями права доступа должны быть чётко определены. Необходимо регулярно удалять устаревшие записи и ненужные поля, а также очищать файлы с общим доступом от ненужных данных.

Пострадавшим пользователям следует внимательно относиться к сообщениям от имени Pass'Sport о поддержке занятий спортом, помощи семьям, регистрации в клубе, загрузке документов, оплате, проверке адреса или подтверждении номера телефона. Не следует отвечать на сообщения с запросами кодов подтверждения, банковских сведений, документов, удостоверяющих личность, или оплаты без проверки через официальные каналы. Хотя поля данных не содержат паролей, риск социальной инженерии высок из-за связи этих данных с домохозяйствами и государственной программой.

Поскольку регистрация в Pass'Sport затрагивает семьи и домохозяйства, пользователям нужно учитывать не только собственные аккаунты, но и данные о занятиях спортом их детей или других членов семьи. Мошенники могут запрашивать у семьи дополнительные сведения под предлогом подтверждения права на поддержку, уплаты взноса в клуб или заполнения документов. Такие запросы следует проверять отдельно, обращаясь в официальное учреждение или клуб.

К государственным программам поддержки пользователи обычно относятся с большим доверием. Сообщения с официальными логотипами, названиями учреждений или характерными для программы формулировками могут выглядеть подлинными. Однако эта утечка показывает, что такие поля, как имя, телефон и адрес, могут использоваться в поддельных сообщениях от имени официальных организаций. Пострадавшим особенно важно не отвечать на сообщения, содержащие банковские сведения, документы, удостоверяющие личность, или требования оплаты.

Для учреждений этот инцидент показывает, что при передаче данных государственной программы между разными организациями необходимо чётко определить, кто отвечает за эти данные и за уведомление пользователей. Пользователи должны иметь возможность легко проверить, с каким учреждением они общаются.

Поэтому семьям, спортивным клубам и местным учреждениям следует проверять каждый запрос документов, полученный через официальный канал.

Поскольку записи с данными домохозяйств могут затрагивать процедуры, связанные с детьми и молодёжью, к таким сообщениям нужно относиться с особой осторожностью.