Утечка данных «Данные, полученные с помощью фишинга — CERT Poland» в 2023 году

В записи подтверждено наличие адресов электронной почты и паролей. Полное имя, номер телефона, адрес, платёжные сведения, документ, удостоверяющий личность, и дополнительные поля профиля не включены в описание, поскольку их наличие не подтверждено. Поскольку запись содержит поле с паролем, она представляет высокий риск. Если пользователь использовал тот же пароль для электронной почты, банковских сервисов, рабочих аккаунтов, социальных сетей, интернет-магазинов или облачных сервисов, злоумышленники могут использовать эти сведения для автоматизированных попыток входа. Защита почтового аккаунта также должна быть приоритетной, поскольку в нём находятся ссылки для сброса паролей других аккаунтов.

Фишинговый характер инцидента указывает на то, что пользователь мог ввести пароль в поддельную форму или в ответ на вводящее в заблуждение сообщение. Поэтому одной смены пароля может быть недостаточно: пользователю также следует вспомнить, какое сообщение или ссылка привели к этому действию. Похожие письма могут прийти снова, причём в них могут использоваться то же оформление или название организации. Вместо перехода по ссылкам в неожиданных сообщениях с подтверждениями покупок, счетами, уведомлениями о доставке, предоставлении доступа к документам или проверке аккаунта пользователям следует напрямую открывать официальный адрес соответствующего сервиса.

Первый шаг для затронутых пользователей, установить новые уникальные пароли для всех важных аккаунтов, связанных с этим адресом электронной почты. Менеджер паролей помогает обнаруживать повторяющиеся пароли и создавать надёжный пароль для каждого аккаунта. Следует включить двухфакторную аутентификацию во всех сервисах, где она доступна, завершить незнакомые сеансы и обновить сведения для восстановления аккаунтов. В почтовом аккаунте также нужно проверить правила пересылки, автоматические фильтры и разрешения сторонних приложений.

Поскольку эта запись содержит пароль, пользователям также следует проверить безопасность своих устройств. Фишинговая страница могла лишь собрать пароль, однако некоторые кампании могут также направлять пользователей на скачивание вредоносных файлов или поддельных приложений. Если пользователь открыл подозрительное вложение, следует выполнить проверку на угрозы, обновить операционную систему и браузер, а также удалить подозрительные расширения. Проверка безопасности устройства и браузера перед созданием нового пароля снижает риск.

Для организаций запись «Данные, полученные с помощью фишинга, CERT Poland» служит прямым предупреждением о том, что сотрудники могли ввести сведения в фишинговые формы. Если затронуты адреса электронной почты в корпоративном домене, следует изучить журналы поставщика удостоверений, неудачные попытки входа, регистрации новых устройств и входы из нетипичных регионов. Для критически важных пользователей следует применять сброс паролей, завершение сеансов, многофакторную аутентификацию и обучение распознаванию фишинга в комплексе. Доменные имена и ссылки подозрительных кампаний следует блокировать в системах защиты электронной почты.

Утечка «Данные, полученные с помощью фишинга, CERT Poland» создаёт прямой риск для безопасности аккаунтов из-за наличия полей с адресами электронной почты и паролями. Увидев эту запись, пользователям следует установить разные пароли для всех аккаунтов, в которых использовался один и тот же пароль, усилить защиту почтового аккаунта и осторожнее относиться к похожим фишинговым сообщениям. Наиболее верный подход, рассматривать инцидент не только как запись о ранее использовавшемся пароле, но и как комплексное предупреждение о поведении пользователя, безопасности аккаунтов и защите от фишинга.

Ключевой момент в записи «Данные, полученные с помощью фишинга, CERT Poland» заключается в том, что сведения были собраны с помощью фишинга. Если пользователь ввёл пароль в поддельную форму, ту же схему атаки могут применить снова. Поэтому пользователям следует не только сменить текущий пароль, но и заново оценить, каким сообщениям нельзя доверять. Особенно тщательно нужно проверять письма о подтверждении покупок, счетах, отправке товаров, предоставлении доступа к документам и проверках безопасности. Напрямую открыть официальный сайт безопаснее, чем перейти по ссылке.

Организациям следует рассматривать эту запись как реальное событие, связанное с аутентификацией. Если адрес сотрудника и пароль совпадают с данными в записи, следует обновить централизованно управляемые сеансы, изучить подозрительные попытки входа и предотвратить повторное использование паролей. Нельзя упускать из виду возможность того, что пользователь применял тот же пароль в других системах. Для обеспечения безопасности смену паролей, многофакторную аутентификацию, завершение сеансов, обучение распознаванию фишинга и правила защиты электронной почты следует применять в комплексе.