Утечка данных Royal Enfield

В этой записи представлены следующие типы данных: даты рождения, адреса электронной почты, сведения о поле, имена, пароли, номера телефонов, физические адреса, профили в социальных сетях и сведения о транспортных средствах. Поскольку присутствует поле пароля, использование одного и того же пароля в других аккаунтах создаёт для них риск. Сведения о платёжных картах, банковских счетах, личных сообщениях, медицинских записях и дополнительные поля профилей, наличие которых не было подтверждено, не добавлялись в список категорий данных; были оставлены только поля, наличие которых подтверждается.

Модель транспортного средства и адрес клиента могут сделать поддельные сообщения о записи на обслуживание, гарантии, запчастях или сервисных акциях более убедительными. Адрес электронной почты сам по себе создаёт риск нежелательных сообщений; в сочетании с номером телефона, адресом, IP, датой рождения, паролем, официальным удостоверением личности, записью обращения в службу поддержки, сведениями о транспортном средстве или физическим адресом он облегчает злоумышленнику составление персонализированных сообщений для пользователя. Оценка риска проводилась с учётом этого совокупного эффекта.

Объём утечки был подтверждён по клиентским данным Royal Enfield за январь 2020 года. Подтверждённые поля были сохранены, а неподтверждённые исключены. Этот инцидент не объединялся с наборами данных с похожими названиями, событиями, затронувшими ту же компанию в другие периоды, или ошибочными указаниями отрасли.

Эта запись ограничена доменом royalenfield.com; её охват не расширялся за счёт таких инцидентов, как утечки у дилеров или в платёжных системах. Доменное имя, название компании и сведения об отрасли были сохранены в максимально узком и точном контексте. При наличии неопределённости отметка о проверке или домен сайта указывались с её учётом; таким образом, пользователю не представляли ответственность бренда как установленную, если уверенности в ней не было.

В зоне риска могут находиться клиенты Royal Enfield, владельцы мотоциклов и люди, о которых есть записи, связанные с обслуживанием или акциями. Пользователям, для которых найдено совпадение, также следует оценить риски для своих аккаунтов в других сервисах, где используются тот же адрес электронной почты, номер телефона, имя пользователя или пароли, построенные по тому же шаблону.

Сведения о транспортных средствах и адресах имеют большую ценность, чем обычные контактные данные, с точки зрения физической безопасности и целевого мошенничества под видом обслуживания. Если данные связаны с корпоративной почтой, игровым форумом, регистрацией клиента мотоциклетной компании, приложением торгового центра, обращением в службу поддержки, аккаунтом в сервисе аренды, маркетинговым списком или вредоносным ПО, риск социальной инженерии может возрасти. Детали, которые выглядят достоверными, сами по себе не дают оснований для доверия.

Затронутым пользователям следует сменить пароль Royal Enfield; сообщения об обслуживании, гарантии и запчастях нужно проверять через официального дилера или сайт. Если в записи есть поле пароля, следует сменить пароли во всех аккаунтах, где используется тот же пароль; если такого поля нет, основное внимание следует уделить рискам, связанным с электронной почтой, телефоном, поддельными уведомлениями, конфиденциальностью и сопоставлением данных для установления личности.

Вместо перехода по ссылкам из сообщения следует вручную ввести адрес соответствующего сервиса или воспользоваться записью в доверенном менеджере паролей. Сообщения о счетах на оплату, уведомлениях об аккаунте, игровых наградах, поддержке, доставке, обслуживании клиентов, записи на техническое обслуживание, публичных объявлениях или продлении подписки не следует принимать на веру без проверки через независимый канал.

Владельцам транспортных средств следует использовать уникальный пароль для аккаунтов бренда, удалять ненужные ссылки на профили в социальных сетях и выработать привычку проверять сообщения об обслуживании. Пользователям следует регулярно удалять старые аккаунты, ненужные поля профилей, повторяющиеся имена пользователей и устаревшие сведения о телефонах и адресах. Базовым правилом должны стать уникальный пароль для каждого сервиса и двухэтапная проверка везде, где она доступна.

Поставщикам услуг необходимы минимизация собираемых данных, надёжная защита паролей, мониторинг журналов доступа, удаление ненужных полей и подготовленные процедуры уведомления пользователей. При совместном хранении сведений о транспортных средствах и адресах компаниям автомобильной отрасли следует вводить дополнительные меры контроля доступа и правила хранения данных. Точное объяснение объёма утечки также является частью работы по обеспечению безопасности; преувеличенная или неполная информация может подтолкнуть пользователя к неверным действиям.

При проверке этой записи пользователю прежде всего следует использовать свой адрес электронной почты. Если найдено совпадение, следует исходить из того, что поля со сведениями о транспортном средстве, адресом, телефоном, профилем в социальных сетях и паролем могут быть под угрозой. Отсутствие совпадения не исключает полностью использование другого адреса электронной почты или повторное использование старого пароля; важные аккаунты также следует проверить.

Эта запись проверена и обновлена с пометкой о чувствительных данных. При этом редактировании поля данных были оставлены в виде канонических категорий на английском языке, для пользователей было написано оригинальное описание на турецком языке, неподтверждённые поля не добавлялись, а отметка о чувствительных данных использовалась только тогда, когда это было обосновано характером риска.