Утечка данных RentoMojo

В этой записи присутствуют даты рождения, адреса электронной почты, сведения о поле, номера официальных документов, удостоверяющих личность, имена, номера паспортов, пароли, номера телефонов, записи о покупках или аренде и профили в социальных сетях. По оценке, пароли хранились в виде хешей bcrypt; тем не менее повторное использование паролей создаёт риск. Неподтверждённые поля платёжных карт, банковских счетов, личных сообщений, медицинских записей или дополнительные поля профилей не были добавлены в список категорий данных; оставлены только поля, подтверждённые имеющимися данными.

Документы, удостоверяющие личность, и история аренды могут сделать поддельные сообщения о кредите, залоге, доставке или проверке аккаунта очень убедительными. Один лишь адрес электронной почты создаёт риск нежелательных сообщений; в сочетании с номером телефона, адресом, IP, датой рождения, паролем, официальным удостоверением личности, записью об обращении в поддержку, сведениями о транспортном средстве или физическим адресом он облегчает злоумышленнику создание персонализированного сообщения для пользователя. При оценке риска учитывался этот совокупный эффект.

Охват был проверен по записи с клиентскими данными RentoMojo, датированной апрелем 2023 года. Подтверждённые поля были сохранены, а неподтверждённые, исключены. Это событие не объединяли с наборами данных с похожими названиями, событиями других периодов той же компании или ошибочными сведениями об отрасли.

Запись ограничивается доменным именем rentomojo.com; неподтверждённые поля финансовых счетов или карт не добавлялись. Доменное имя, название компании и сведения об отрасли были сохранены в максимально узком и точном контексте. Там, где сохранялась неопределённость, соответствующим образом задавались значения флага проверки или поля сайта; таким образом, пользователю не показывали неподтверждённые сведения об ответственности бренда.

В группу риска могут входить клиенты из Индии, арендующие мебель, бытовую технику или аналогичные товары через RentoMojo. Пользователям, у которых найдено совпадение, следует также оценить другие аккаунты, где они используют тот же адрес электронной почты, номер телефона, имя пользователя или шаблон пароля за пределами этого сервиса.

Пользователям, чьи данные включают сведения об удостоверении личности и паспорте, следует считать риск мошенничества и неправомерного использования их идентификационных данных высоким. Если данные связаны с корпоративной электронной почтой, игровым форумом, регистрацией клиента в сфере мототехники, приложением торгового центра, обращением в поддержку, аккаунтом сервиса аренды, маркетинговым списком или вредоносным ПО, риск социальной инженерии может возрасти. Само по себе наличие правдоподобных сведений не означает, что сообщению можно доверять.

Затронутым пользователям следует сменить пароль RentoMojo и через официальные каналы проверять подлинность любых сообщений о доставке, залоге или кредите, в которых запрашиваются данные для подтверждения личности. Если в записи есть поле пароля, необходимо сменить пароль во всех аккаунтах, где используется тот же пароль; если такого поля нет, основное внимание следует уделить рискам, связанным с электронной почтой, телефоном, поддельными уведомлениями, конфиденциальностью и сопоставлением данных для установления личности.

Вместо перехода по ссылкам в сообщении вводите адрес нужного сервиса вручную или используйте запись в надёжном менеджере паролей. Не доверяйте сообщениям со счетами, предупреждениями об аккаунте, игровыми наградами, обращениями в поддержку, сведениями об отправке, сообщениями службы обслуживания клиентов, записью на техническое обслуживание, публичными уведомлениями или продлением подписки без проверки через независимый канал.

После передачи документов, удостоверяющих личность, сервисам аренды следует отслеживать признаки кражи личности, использовать уникальный пароль и контролировать активность аккаунта. Пользователям следует регулярно удалять старые аккаунты, ненужные поля профиля, повторяющиеся имена пользователей и устаревшие сведения о телефонах и адресах. Уникальный пароль для каждого сервиса и двухэтапная проверка везде, где она доступна, должны стать базовым правилом.

Со стороны поставщиков услуг необходимы минимизация данных, надёжная защита паролей, контроль журналов доступа, удаление ненужных полей и заранее подготовленные процедуры уведомления пользователей. Компании, предоставляющие услуги аренды, должны хранить документы, удостоверяющие личность, как можно меньше времени и предоставлять доступ к ним максимально узкому кругу лиц. Точное описание охвата утечки также является частью работы по обеспечению безопасности; преувеличенная или неполная информация может подтолкнуть пользователя к неверным действиям.

Сначала проверьте по своему адресу электронной почты, есть ли ваши данные в этой записи. Если найдено совпадение, следует исходить из того, что данные в полях официального удостоверения личности, паспорта, телефона, покупок и пароля могут быть под угрозой. Отсутствие совпадения не исключает полностью, что использовался другой адрес электронной почты или повторно применялся старый пароль; важные аккаунты также следует проверить.

Эта запись была проверена и обновлена с отметкой о чувствительных данных. При этом редактировании поля данных были оставлены в виде канонических категорий на английском языке, описание для пользователя было написано на турецком языке как оригинальный текст, неподтверждённые поля не добавлялись, а отметка о чувствительных данных использовалась только тогда, когда это было обосновано характером риска.