PSP ISO Утечка данных

В этой записи представлены адреса электронной почты, IP-адреса, пароли и имена пользователей. По результатам оценки пароли хранились в виде хешей MD5 с солью; старые и слабые пароли представляют риск. Неподтверждённые сведения о платёжных картах, банковских счетах, личных сообщениях, медицинских записях и дополнительные поля профиля не были включены в список категорий данных; оставлены только поля, наличие которых подтверждено.

Совпадения имён пользователей форума, IP-адресов и адресов электронной почты позволяют связать учётные записи одного человека в разных игровых сообществах. Даже один адрес электронной почты создаёт риск нежелательных сообщений; в сочетании с номером телефона, адресом, IP-адресом, датой рождения, паролем, официальным удостоверением личности, записью обращения в поддержку, сведениями о транспортном средстве или физическим адресом он упрощает злоумышленнику подготовку сообщений, адресованных конкретному пользователю. При оценке риска учитывался этот совокупный эффект.

Масштаб был подтверждён на основе данных о 1,27 миллиона аккаунтов PSP ISO за сентябрь 2015 года. Подтверждённые сведения были сохранены, а неподтверждённые, исключены. Инцидент не объединяли с наборами данных с похожими названиями, инцидентами той же компании за другие периоды или ошибочными указаниями на отрасль.

Запись ограничена доменом pspiso.com и не представлена как нарушение безопасности официальных систем PlayStation. Доменное имя, название компании и сведения об отрасли были сохранены в максимально узком и точном контексте. В случаях неопределённости отметка о проверке или домен сайта указывались с её учётом; таким образом, в описании для пользователя бренду не приписывали ответственность без подтверждения.

К группам риска могут относиться игроки с аккаунтом на форуме PSP ISO и люди, использующие то же имя пользователя на других форумах. Пользователям, для которых найдено совпадение, также следует проверить другие аккаунты, где за пределами этого сервиса используются те же адрес электронной почты, номер телефона, имя пользователя или схема составления пароля.

Если тот же пароль использовался для электронной почты, игрового магазина или аккаунта в социальной сети, старые данные форума создают риск для действующих аккаунтов. Риск социальной инженерии может возрасти, если в контексте присутствуют корпоративная электронная почта, игровой форум, запись о клиенте мотоциклетной компании, приложение торгового центра, обращение в поддержку, аккаунт сервиса аренды, маркетинговый список или вредоносное ПО. Даже если отдельные сведения выглядят верными, это не основание для доверия.

Затронутым пользователям следует изменить пароль PSP ISO и пароли всех аккаунтов, где использовался тот же пароль. Для записей с полем пароля необходимо обновить пароли всех аккаунтов, использующих тот же пароль; для записей без поля пароля основное внимание следует уделить рискам, связанным с электронной почтой, телефоном, поддельными уведомлениями, конфиденциальностью и сопоставлением идентификационных данных.

Вместо перехода по ссылкам из сообщения следует вручную ввести адрес соответствующего сервиса или воспользоваться записью в надёжном менеджере паролей. Сообщения о счетах к оплате, предупреждениях об аккаунте, игровых наградах, поддержке, доставке, обслуживании клиентов, записи на техническое обслуживание, публичных уведомлениях или продлении подписки не следует принимать на веру без проверки по независимому каналу.

Пароли от официальных аккаунтов не следует использовать на игровых форумах; для каждого форума предпочтительны отдельный пароль и, по возможности, отдельное имя пользователя. Пользователям следует регулярно удалять старые аккаунты, ненужные поля профиля, повторяющиеся имена пользователей, а также устаревшие номера телефонов и адреса. Уникальный пароль для каждого сервиса и двухэтапная проверка там, где она доступна, должны стать основным правилом.

Поставщикам услуг необходимы минимизация данных, надёжная защита паролей, мониторинг журналов доступа, удаление ненужных полей и готовые процедуры уведомления пользователей. Старые форумные системы создают данные, которые могут годами использоваться при повторных попытках ввода паролей. Точное объяснение масштаба инцидента, тоже часть работы по обеспечению безопасности; преувеличенная или неполная информация может подтолкнуть пользователя к неверным действиям.

Пользователю следует сначала выполнить проверку по адресу электронной почты в этой записи. Если найдено совпадение, следует исходить из того, что имя пользователя, IP-адрес и пароль могут быть под угрозой, и удалить старые пароли форума. Отсутствие совпадения не исключает полностью использование другого адреса электронной почты или повторное использование старых паролей; важные аккаунты следует проверить отдельно.

Запись сохранила статус подтверждённой; её не путали с официальными системами торговой марки. При этой доработке поля данных были оставлены в виде канонических категорий на английском языке, видимое пользователю описание было написано на турецком языке как оригинальный текст, неподтверждённые поля не добавлялись, а флаг чувствительности использовался только там, где это было обосновано контекстом риска.