Утечка данных Rush My Passport в 2020 году

Данные в записи Rush My Passport особенно чувствительны из-за их связи с подачей заявлений на паспорт и услугами по оформлению документов. Электронная почта и телефон позволяют обращаться непосредственно к пользователю; полное имя и дата рождения могут использоваться злоумышленниками при ответах на вопросы для проверки личности; физический адрес может сделать более убедительными поддельные сообщения о доставке документов, изменении записи на приём, указаниях для курьера или завершении оформления заявления. Совокупность этих данных позволяет злоумышленникам готовить не просто обычные фишинговые сообщения, а обращения, создающие впечатление, что человек действительно проходит процедуру оформления документов.

Главный риск в этом случае заключается в том, что связь сообщения с паспортным сервисом может подтолкнуть пользователя к поспешному решению. Злоумышленники могут отправлять поддельные ссылки под предлогом недостающих документов, задержки доставки, изменения записи на приём, уплаты сборов за оформление заявления, проверки личности или подтверждения адреса. Если в сообщении указаны настоящее имя, номер телефона или адрес, пользователю может быть проще принять его за подлинное. Поэтому пользователям Rush My Passport следует проверять входящие письма и SMS не по ссылке из сообщения, а через известный им официальный домен или ранее использовавшийся доверенный канал связи.

Пользователям прежде всего следует внимательнее относиться к запросам на подтверждение сведений, поступающим по электронной почте и телефону. Если тот же адрес электронной почты используется для аккаунтов в финансовых, туристических, государственных или медицинских сервисах либо в сервисах доставки грузов, такая запись может также облегчить подготовку сообщений с применением социальной инженерии в разных сферах. Во время телефонных разговоров не следует сообщать дату рождения, адрес, сведения о статусе документов или платёжную информацию. Даже если кажется, что собеседнику уже известны персональные данные, законные организации не должны запрашивать полные сведения для подтверждения личности или инструкции по оплате во время неожиданных звонков.

Для организаций эта запись показывает, что контактные сведения, которые сотрудники используют при оформлении личных документов и обращении в туристические сервисы, могут влиять и на корпоративную безопасность. Когда имя сотрудника, номер телефона, дата рождения и адрес становятся доступными во внешнем сервисе, злоумышленники могут подготовить сообщения, похожие на обращения в рамках внутренних процессов: кадровых процедур, оформления виз, организации поездок, отправки грузов или отчётности по расходам. Командам безопасности следует оценивать такие инциденты не только как утечки паролей, но и как риски для аутентификации и риски социальной инженерии.

После последнего исправления запись об утечке данных Rush My Passport ограничена следующими полями: адрес электронной почты, полное имя, дата рождения, физический адрес и номер телефона. Это ограничение важно, чтобы не вводить пользователей в заблуждение: номера паспортов, изображения документов или данные платёжных карт не следует добавлять в запись без явного подтверждения. Наиболее подходящие меры защиты для пользователей, проверять через независимый канал сообщения, которые выглядят как обращения от сервиса оформления документов или курьерской службы, уведомления о записи на приём, запросы на подтверждение адреса или оплату; включить многофакторную аутентификацию в почтовом аккаунте и не сообщать учётные данные по телефону.

Исправление этой записи особенно важно для уточнения названий полей данных. Риск для пользователя связан не с отдельными сведениями о документе, такими как номер паспорта, а с данными о личности и контактной информацией, которые делают сообщения об оформлении заявления и доставке правдоподобными. В совокупности имя, дата рождения, адрес, номер телефона и электронная почта могут придать достоверность поддельным сообщениям о записи на приём для оформления документов, подтверждении доставки или завершении оформления заявления. Поэтому пользователям следует вручную проверять доменное имя перед переходом по ссылке, не подтверждать персональные данные во входящих звонках или сообщениях и дополнительно защищать доступ к электронной почте для обеспечения безопасности аккаунтов.

Эта страница обновлена, чтобы пользователи, которые ищут информацию об утечке данных Rush My Passport, могли без преувеличений понять, какие их сведения могут быть под угрозой. Категории данных ограничены адресами электронной почты, именами и фамилиями, датами рождения, физическими адресами и номерами телефонов. Соблюдение этих границ позволяет правильно расставить приоритеты в предупреждениях о безопасности: прежде чем менять пароли, пользователям следует сосредоточиться на рисках фишинга, поддельных курьерских уведомлений, мошенничества под видом услуг по оформлению документов и попыток получить сведения по телефону.