Утечка данных PoinCampus

В этой записи представлены даты рождения, адреса электронной почты, имена и номера телефонов. Наличие поля пароля или данных платёжной карты не было подтверждено. Неподтверждённые поля платёжных карт, банковских счетов, личных сообщений, медицинских записей и дополнительные поля профиля не были добавлены в список категорий данных; были сохранены только поля, наличие которых подтверждалось.

В контексте образовательной платформы поддельные сообщения о курсах, сертификатах, студенческих аккаунтах или платежах могут выглядеть убедительно. Сам по себе адрес электронной почты создаёт риск нежелательных сообщений; в сочетании с номером телефона, адресом, IP, датой рождения, паролем, планами поездок, частичными данными карты или данными устройства злоумышленнику становится проще составлять сообщения, ориентированные на конкретного пользователя. При оценке риска учитывалось именно такое сочетание данных.

Охват был подтверждён записью за ноябрь 2024 года (89.116). Подтверждённые сведения были сохранены, а неподтверждённые, исключены. Инцидент не объединяли с наборами данных с похожими названиями, инцидентами той же компании за другие периоды или ошибочными отраслевыми отсылками.

Запись ограничена доменом poincampus.com и не была объединена с записями о других образовательных платформах. Доменное имя, название компании и сведения об отрасли были сохранены в максимально узком и корректном контексте. При наличии неопределённости отметку о подтверждении или домен сайта указывали с её учётом, чтобы не представлять пользователю неподтверждённую ответственность бренда.

В группу риска могут входить студенты PoinCampus, участники курсов и пользователи, создавшие аккаунт для обучения. Пользователям, чьи данные совпали с данными в записи, следует также оценить состояние других аккаунтов, в которых они используют тот же адрес электронной почты, номер телефона, имя пользователя или шаблон пароля за пределами этого сервиса.

Дата рождения и номер телефона в студенческих профилях особенно повышают риски для конфиденциальности и риск социальной инженерии. Если данные связаны с корпоративной электронной почтой, учебным аккаунтом, бронированием отеля, подпиской на услуги связи, игровым сообществом, пожертвованием проекту с открытым исходным кодом или программой отслеживания, риск социальной инженерии может возрастать. Сведения, которые выглядят достоверными, сами по себе не дают оснований для доверия.

Затронутым пользователям следует проверять сообщения об обучении, сертификатах, оплате курсов и подтверждении номера телефона через официальную платформу. Если запись содержит поле пароля, следует сменить пароль во всех аккаунтах, где используется тот же пароль; если поля пароля нет, основное внимание следует уделить рискам, связанным с электронной почтой, телефоном, поддельными уведомлениями, конфиденциальностью и сопоставлением данных для установления личности.

Вместо перехода по ссылкам из сообщения следует вручную вводить адрес соответствующего сервиса или пользоваться записью в надёжном менеджере паролей. Сообщения о доставке, предупреждениях для аккаунта, игровых наградах, поддержке, уведомлениях для жертвователей, бронировании поездок, безопасности или продлении подписок не следует принимать на веру без проверки через независимый канал.

На образовательных платформах следует ограничивать передачу дат рождения и номеров телефонов, если в этом нет необходимости, а для студенческих аккаунтов, использовать уникальные пароли. Пользователям следует регулярно удалять старые аккаунты, ненужные поля профиля, повторяющиеся имена пользователей и устаревшие сведения о телефонах и адресах. Базовым правилом должны быть уникальный пароль для каждого сервиса и двухфакторная аутентификация везде, где она доступна.

Со стороны поставщиков услуг необходимы минимизация данных, надёжная защита паролей, мониторинг журналов доступа, удаление ненужных полей и готовность процедур уведомления пользователей. Образовательным платформам следует строже защищать контактные данные и даты рождения молодых пользователей. Точное объяснение охвата также является частью работы по обеспечению безопасности: преувеличенная или неполная информация может подтолкнуть пользователя к неверным действиям.

Пользователю следует сначала проверить эту запись по своему адресу электронной почты. Если найдено совпадение, следует исходить из того, что дата рождения, номер телефона, имя и адрес электронной почты могут быть под угрозой; сообщения на образовательную тематику необходимо проверять. Отсутствие совпадения не исключает полностью использование другого адреса электронной почты или повторное использование старого пароля; важные аккаунты также следует проверить.

Эта запись была проверена и обновлена с отметкой о наличии чувствительных данных. В ходе этой правки поля данных были оставлены в виде канонических категорий на английском языке, для пользователей было создано оригинальное описание на турецком языке, неподтверждённые поля не добавлялись, а отметка о чувствительности использовалась только тогда, когда это было обосновано характером риска.