Утечка данных Poshmark

В утечке Poshmark подтверждено наличие адресов электронной почты, имён, имён пользователей, сведений о поле и местоположении, а также паролей. Наличие адреса электронной почты вместе с именем пользователя облегчает злоумышленникам поиск аккаунта на других платформах. Сведения о местоположении, имени, поле и городе могут сделать более убедительными поддельные сообщения от службы поддержки, имитации уведомлений о покупках и попытки мошенничества под предлогом доставки.

Хотя пароли защищены хешами bcrypt, риск не исчезает полностью. Слабые или повторно используемые пароли в сочетании с данными из других утечек могут использоваться при попытках захвата аккаунтов. Кроме того, на торговых площадках с социальными функциями, таких как Poshmark, сочетание имён пользователей, сведений из профилей и покупательских интересов повышает риски целевого фишинга, поддельных сообщений о продажах, ложных уведомлений о возврате и социальной инженерии, связанной с неоплатой.

Указанная дата инцидента, май 2018 года; о нём объявили в 2019 году. Проверенная выборка аккаунтов содержит 36 395 491 запись пользователей. В уведомлениях об инциденте сообщалось, что финансовая информация и сведения о почтовых адресах не были затронуты. Однако утечка затронула важные для безопасности аккаунтов данные: профили пользователей, адреса электронной почты, сведения о городе и предпочтениях, а также хеши паролей.

Категории данных на этой странице ограничены основной выборкой аккаунтов, сведения из которой можно проверить: адресами электронной почты, сведениями о поле и местоположении, именами, паролями и именами пользователей. Данные, наличие которых не подтверждено для каждого аккаунта, не представлены как основные поля. Такой подход позволяет пользователю ясно понять, какие меры для защиты аккаунта необходимо принять, без лишних или преувеличенных описаний риска.

В основную группу риска входят покупатели с аккаунтом Poshmark, продавцы, пользователи, совершающие покупки через свой социальный профиль, и люди, использующие одно и то же имя пользователя на нескольких платформах. В случае продавцов с аккаунтом на торговой площадке сочетание имени пользователя, города, сведений из профиля и адреса электронной почты может использоваться в сообщениях с поддельными заказами, ложными запросами от службы поддержки или под предлогом проверки аккаунта. Для покупателей особенно актуальны попытки фишинга на темы скидок, возвратов, доставки и безопасности аккаунта.

Люди, использующие один и тот же пароль на разных сайтах для покупок или в почтовых аккаунтах, подвергаются повышенному риску. Даже при надёжном хешировании паролей злоумышленники могут начать попытки подбора, сопоставив тот же адрес электронной почты и имя пользователя с другими наборами данных. Для пользователей, связавших аккаунт в социальной сети с профилем Poshmark, риск сопоставления личных профилей и получения поддельных сообщений может возрасти ещё сильнее.

Необходимо немедленно сменить пароли во всех аккаунтах, где используется тот же или похожий пароль, что и в Poshmark. Новый пароль должен быть уникальным, длинным и случайным; хранить его следует в менеджере паролей. В первую очередь нужно защитить почтовый аккаунт, аккаунты на других торговых площадках и в социальных сетях, а также в сервисах, где хранится платёжная информация. Небольшие изменения старого пароля не обеспечивают достаточной защиты.

В аккаунтах, которые поддерживают многофакторную аутентификацию, её следует включить. В Poshmark и аккаунтах на аналогичных торговых площадках нужно проверить зарегистрированный адрес электронной почты, историю сеансов, связанные аккаунты в социальных сетях, настройки уведомлений и сведения в профиле. Если сообщение касается доставки, возврата, проверки продавца, проблем с оплатой или безопасности аккаунта, перед переходом по любой ссылке необходимо проверить доменное имя. Если вы обнаружили подозрительный сеанс или получили неожиданное уведомление о сбросе пароля, следует завершить сеансы и сменить пароль.

Инцидент с Poshmark показывает, что при оценке безопасности аккаунтов на сайтах для покупок и торговых площадках с социальными функциями нужно учитывать не только платёжную информацию, но и риски сопоставления профилей и фишинга. Пользователям следует использовать разные пароли для покупок, социальных сетей, электронной почты и финансовых аккаунтов, а по возможности, и отдельные адреса электронной почты. Отказ от размещения лишних персональных сведений в профиле и регулярная проверка связей с аккаунтами в социальных сетях снижают долгосрочный риск.

У владельцев аккаунтов продавцов название бренда, город, имя пользователя и каналы связи могут быть более заметны. Поэтому необходимо выработать привычку проверять сообщения от службы поддержки, ссылки на товары и переписку с покупателями на признаки фишинга. На уровне организации долговременную защиту обеспечивают мониторинг утечек паролей и обучение безопасности, помогающие сотрудникам не использовать пароли от личных аккаунтов для покупок в рабочих аккаунтах.

Если в результатах проверки «Безопасность аккаунтов» появляется Poshmark, это означает, что соответствующий адрес электронной почты включён в проверенную выборку аккаунтов, связанную с утечкой данных Poshmark 2018 года. Такой результат не означает, что ваш нынешний аккаунт Poshmark скомпрометирован сейчас. Однако он указывает на то, что использовавшиеся ранее адрес электронной почты, имя пользователя, сведения из профиля и хеш пароля могли быть использованы злоумышленниками. Если тот же пароль использовался в других аккаунтах, не следует откладывать необходимые меры.

Сначала защитите свой почтовый аккаунт, затем смените пароли во всех аккаунтах, где используется тот же или похожий пароль. Если вы заметили подозрительный вход, неизвестное устройство, неожиданное сообщение о продаже, поддельный запрос от службы поддержки или уведомление о сбросе пароля, необходимо проверить безопасность соответствующего аккаунта. Полный отказ от повторного использования паролей, включение многофакторной аутентификации и привычка проверять доменные имена в сообщениях торговой площадки, наиболее эффективные действия при обнаружении результата, связанного с Poshmark.