Утечка данных Romwe

Подтверждённые категории данных, адреса электронной почты, имена, номера телефонов, IP-адреса, почтовые адреса, сведения о местоположении и хеши паролей. В этой записи учтены 19 531 820 уникальных адресов электронной почты, тогда как расследование регулирующего органа установило кражу учётных данных для входа более чем в семь миллионов аккаунтов ROMWE. Эти показатели получены из разных источников и имеют разный уровень детализации; их нельзя складывать или представлять как 19,5 миллиона подтверждённых клиентских аккаунтов. Адреса электронной почты и хеши паролей создают риск захвата аккаунтов и использования тех же учётных данных для доступа к другим сервисам, а имена и номера телефонов помогают адаптировать мошеннические сообщения под конкретного человека. Адреса, сведения о местоположении и IP-адреса могут сделать сообщения о покупках или доставке более убедительными. Номера платёжных карт не входят в подтверждённые категории данных ROMWE, поэтому выводы о картах из более широкого расследования в отношении оператора не относятся к этой записи.

Zoetop Business Company, Ltd., оператор ROMWE, подверглась кибератаке в июне 2018 года, в ходе которой злоумышленники проникли во внутреннюю сеть компании. В уведомлении компании говорилось, что учётные данные ROMWE могли быть похищены в июле, тогда как расследование регулирующего органа пришло к выводу, что они, вероятно, были выведены во время той же атаки 2018 года. Точный день не раскрыт, поэтому в этой записи 1 июня используется как условная дата, указывающая на месяц события. Компания обнаружила учётные данные ROMWE в интернете 7 сентября 2020 года, сбросила пароли затронутых аккаунтов и уведомила пользователей. Пароли в изученном наборе данных были описаны как хеши SHA-1 с солью. Хеши, это не пароли в открытом виде, однако SHA-1 не подходит для хранения паролей, а слабые пароли могут быть восстановлены офлайн. Атака также затронула другой бренд и платёжные системы, которыми управляла компания; доказательств того, что сведения о картах присутствовали в этом наборе данных ROMWE, по-прежнему недостаточно.

Основную группу риска составляют люди, которые создали аккаунт ROMWE до середины 2018 года и указали имя, номер телефона, адрес электронной почты или адрес доставки. Риск выше, если тот же пароль использовался для почты, социальных сетей или другого магазина: злоумышленники могут проверить учётные данные на других сервисах. Данные аккаунта в сочетании с адресом и номером телефона могут использоваться для поддельных сообщений о доставке, проблемах с заказом, возврате денег, купонах, таможенных сборах или проверке данных. Даже заброшенный аккаунт имеет значение: адрес электронной почты и номер телефона могут оставаться актуальными годами, а старый адрес может помочь при социальной инженерии. Совпадение в наборе данных не доказывает, что в записи этого человека присутствовали все перечисленные поля, что пароль был восстановлен по хешу или что аккаунт использовался злоумышленниками. Раскрытие данных, восстановление пароля по хешу и подтверждённый взлом, разные последствия, и их нельзя объединять в одно утверждение.

Если вы не меняли пароль ROMWE после инцидента или использовали похожий пароль на других сервисах, найдите эти аккаунты и задайте для каждого надёжный уникальный пароль. Начните с электронной почты: на неё приходят ссылки для сброса паролей, а доступ к почтовому ящику может позволить получить контроль над другими сервисами. Включите многофакторную аутентификацию там, где она поддерживается, проверьте данные для восстановления доступа и завершите незнакомые сеансы. Проверьте историю заказов в ROMWE, адреса доставки и сохранённые способы оплаты; хотя наличие номеров карт в этом наборе данных не подтверждено, сообщайте банку о подозрительных операциях. В сообщениях о доставке, возврате, скидках или блокировке проверяйте настоящий домен отправителя и адрес, на который ведёт ссылка. Не открывайте неожиданные вложения, не входите в аккаунт по ссылке из сообщения и не сообщайте одноразовые коды. Если обнаружите изменение, которое вы не совершали, защитите аккаунт и свяжитесь с сервисом через официальный канал поддержки.

Менеджер паролей, создающий отдельный пароль для каждого сервиса, снижает вероятность того, что утечка в интернет-магазине затронет и другие аккаунты. Включите уведомления об утечках и слабых паролях, а для многофакторной аутентификации отдавайте предпочтение приложению-аутентификатору или аппаратному ключу. Отдельные почтовые псевдонимы для покупок могут помочь понять, где был раскрыт адрес, и упростить распознавание мошенничества. Храните только сведения, необходимые для доставки и оплаты; удаляйте устаревшие адреса, номера телефонов и подключённые приложения. Рассмотрите возможность удаления аккаунтов, которыми больше не пользуетесь, и убедитесь, что удаление завершено. Регулярно проверяйте банковские операции и уведомления о безопасности, но не переходите по ссылкам из писем: используйте официальное приложение или вводите адрес сайта самостоятельно. Старые наборы данных могут объединяться с более свежей информацией, поэтому давность этого инцидента не отменяет необходимости постоянно следить за безопасностью аккаунтов и распознавать фишинг.

Совпадение адреса электронной почты означает, что он присутствовал в связанном с ROMWE наборе данных, содержащем 19 531 820 уникальных адресов. Это не показывает, какой именно из более чем семи миллионов записей с данными для входа, подтверждённых расследованием, он соответствует, остаётся ли аккаунт открытым и доступен ли пароль в открытом виде. Если совпадение найдено, проверьте, использовали ли вы пароль 2018 года где-либо ещё; сначала защитите электронную почту, затем аккаунты с тем же или похожим старым паролем. Отсутствие совпадения не гарантирует полной безопасности: вы могли зарегистрироваться с другим адресом, создать аккаунт позже или столкнуться с другим, неподтверждённым инцидентом. Дополняйте проверки уведомлениями менеджера паролей, многофакторной аутентификацией и просмотром активных сеансов. При оценке подозрительных сообщений учитывайте в совокупности настоящий домен отправителя, адрес назначения ссылки, давление с требованием действовать срочно и просьбы об оплате или предоставлении кодов подтверждения. Так результат проверки исторических данных становится частью постоянной практики безопасности.