BVD 2021 — раскрытие общедоступных деловых данных

Подтверждено наличие дат рождения, адресов электронной почты, должностей, имен, номеров телефонов и адресов местонахождения. Последние в основном считались адресами организаций, однако имена, должности, номера телефонов и адреса электронной почты в одном наборе могут дать полезный контекст для попыток мошенничества. Сообщение от поставщика, поручение руководителя, обращение по поводу найма или звонок от службы поддержки от имени конкретного человека могут выглядеть убедительнее, если в них используются реальные сведения о его работе.

Устойчивые идентификаторы, например дата рождения, в сочетании с профессиональными сведениями могут повысить риск выдачи себя за другого человека и применения социальной инженерии. Адреса электронной почты помогают злоумышленникам выбирать цели для фишинговых кампаний, а прямые телефонные номера могут использоваться для мошенничества по телефону или давления через сообщения. Пароли, имена пользователей, данные платежных карт, сведения о сеансах и секретные данные аутентификации не входят в число полей, наличие которых подтверждено. Это ограничение принципиально важно для понимания того, о чем может и о чем не может свидетельствовать найденное совпадение.

Считается, что событие произошло примерно в августе 2021 года. В сообщениях упоминается более обширный набор данных объемом в сотни гигабайт, содержащий сотни миллионов необработанных строк. Количество таких строк не равно числу уникальных людей, адресов электронной почты или учетных записей. Публично указанный показатель составляет 27 917 714 уникальных адресов электронной почты. Он не показывает, сколько раз встречался каждый адрес, присутствовал ли он в нескольких полях и оставалась ли связанная с ним деловая информация актуальной со временем.

Подтверждено, что материалы представляли собой набор общедоступной деловой информации, находившийся у клиента. Нет свидетельств несанкционированного проникновения в инфраструктуру поставщика сервиса или раскрытия данных из клиентских сред его материнской организации. С учетом этого различия было бы неверно называть событие непосредственным взломом систем поставщика. Также нельзя сделать вывод, что каждый адрес электронной почты присутствовал вместе со всеми перечисленными полями или что вся информация была актуальна на момент публикации.

Сотрудники и руководители, чьи рабочие адреса электронной почты, прямые телефонные номера, должности или адреса местонахождения присутствуют в наборе, становятся более заметными целями. Злоумышленники могут использовать эти поля для создания платежных запросов от имени вышестоящих сотрудников, поддельной переписки с поставщиками, обращений от кадровой службы или звонков, якобы поступающих от службы поддержки. Особую осторожность следует проявлять сотрудникам, работающим в сфере финансов, закупок и расчета заработной платы, а также помощникам руководителей: сведения о должности могут сделать предположения злоумышленников о рабочих процессах более правдоподобными.

Дата рождения в сочетании с именем и контактными данными может упростить установление связи между личными и профессиональными профилями. Даже если прежняя роль, должность или адрес компании уже неактуальны, злоумышленник может использовать их, чтобы вызвать первоначальное доверие. Риск для организации не ограничивается людьми, указанными в наборе: смежные команды также могут стать целями убедительных сообщений и ложных запросов, связанных с рабочими процессами.

Проверяйте по отдельному каналу неожиданные запросы на оплату, изменение банковских реквизитов, предоставление доступа к документам или указания, которые якобы исходят от высшего руководства. Знакомые адреса электронной почты и номера телефонов не доказывают подлинность сообщения. Если запрос касается важных или конфиденциальных действий и поступает от имени знакомого человека, используйте уже известный вам номер телефона, получите подтверждение лично или свяжитесь с ним по отдельному корпоративному каналу.

Не отключайте многофакторную аутентификацию для рабочей почты и обращайте внимание на предупреждения почтовых клиентов о подозрительных ссылках и вложениях. Наличие данных паролей в этом наборе не подтверждено, поэтому одно лишь совпадение адреса не дает оснований считать пароль раскрытым. При этом для общей защиты учетных записей по-прежнему нужны надежные уникальные пароли, а о подозрительных сообщениях следует оперативно сообщать команде безопасности организации.

Организациям следует регулярно проверять контактные данные сотрудников и руководителей, доступные в открытом интернете, удалять ненужные сведения о датах рождения и прямых телефонных номерах, а также ограничивать публикацию данных сотрудников на должностях с высоким риском рамками обоснованных деловых потребностей. Критически важные процессы оплаты, изменения данных поставщиков и работы с конфиденциальными документами должны требовать согласования двумя ответственными лицами и подтверждения по отдельному каналу. Политики аутентификации почтовых доменов должны оставаться включенными, а сотрудников следует обучать распознавать в общении признаки того, что собеседник выдает себя за другого человека.

Пользователям следует проверять свои профессиональные профили и предпочтительные способы связи, закрывать доступ к устаревшим сведениям о работе и по возможности сокращать число полей, видимых всем. Общие проверочные фразы для службы поддержки, кадровой службы и финансовых команд могут затруднить злоумышленникам завоевание доверия с помощью устаревших сведений. Команды безопасности могут повысить качество защиты, оценивая сообщения о фишинге и сценарии мошеннических платежных запросов в ходе регулярных учений.

Проверка адреса электронной почты может показать, присутствует ли он в этом наборе деловых данных. Совпадение не доказывает, что все перечисленные поля находились в одной строке, что информация по-прежнему актуальна или что кто-либо получил доступ к учетной записи. Указанное количество относится к уникальным почтовым идентификаторам, и его нельзя трактовать как общее число затронутых учетных записей. Используйте результат проверки, чтобы пересмотреть свои привычки общения с учетом возможности целевого мошенничества.

Если найдено совпадение, с особой осторожностью оценивайте неожиданные запросы, поступающие через рабочую почту, по телефону и через профессиональные профили. Сотрудникам следует уведомить свою команду безопасности или ИТ-отдел и сообщать о запросах на оплату, предоставление доступа или документов, в которых ссылаются на их имя или должность. Многофакторная аутентификация, уникальные пароли и актуальные способы восстановления доступа остаются важными для защиты личных учетных записей. Эти меры снижают риск, возникающий при объединении общедоступной информации.