Список данных для спам-рассылок: SaverSpy

В этой записи представлены адреса электронной почты, сведения о поле, имена и почтовые адреса. Поле пароля не обнаружено; риски связаны с таргетированным маркетингом и конфиденциальностью почтового адреса. Неподтверждённые сведения о платёжных картах, банковских счетах, личных сообщениях, медицинских записях или дополнительных полях профиля не добавлялись в список категорий данных; оставлены только поля, наличие которых подтверждено.

Сочетание адреса электронной почты Yahoo, имени, пола и почтового адреса позволяет персонализировать сообщения о местных услугах, задолженности, рекламных акциях или доставке. Сам по себе адрес электронной почты создаёт риск нежелательных сообщений; в сочетании с телефоном, адресом, IP, датой рождения, паролем, официальным удостоверением личности, записями службы поддержки, сведениями о транспортном средстве или почтовым адресом он упрощает злоумышленнику создание сообщений, адресованных конкретному пользователю. При оценке риска учитывался этот совокупный эффект.

По состоянию на сентябрь 2018 года подтверждённый масштаб составлял 2,45 миллиона адресов электронной почты. Подтверждённые поля сохранили, а неподтверждённые исключили. Инцидент не объединяли с наборами данных с похожими названиями, событиями в той же компании за другие периоды или ошибочными указаниями отрасли.

Эта запись не описывает компрометацию аккаунта в конкретной компании; поля домена и сайта оставили пустыми. Доменное имя, название компании и сведения об отрасли указывались в максимально узком контексте, допускаемом достоверными данными. Там, где оставалась неопределённость, соответствующим образом задавали значение флага подтверждения или поля сайта; таким образом, в информации для пользователя ни одному бренду не приписывали ответственность без подтверждения.

В зоне риска могут находиться пользователи почты Yahoo, включённые в маркетинговые списки, и люди, чьи почтовые адреса получили распространение. Пользователям, для которых обнаружено совпадение, следует также оценить другие аккаунты за пределами соответствующего сервиса, где они используют тот же адрес электронной почты, телефон, имя пользователя или шаблон пароля.

Пользователь может не помнить, что регистрировался в сервисе под названием SaverSpy; его данные могли попасть туда из маркетинговых списков. Если данные связаны с корпоративной почтой, игровым форумом, регистрацией клиента, покупающего мотоцикл, приложением торгового центра, обращением в поддержку, аккаунтом сервиса аренды, маркетинговым списком или вредоносным ПО, риск социальной инженерии может возрасти. Детали, которые выглядят достоверными, сами по себе не служат основанием для доверия.

Затронутым пользователям следует через независимый канал проверять сообщения о рекламных акциях, задолженности, доставке или местных услугах, если в них указаны имя и адрес. Если запись содержит поле пароля, следует сменить пароль во всех аккаунтах, где он используется; если поля пароля нет, основное внимание следует уделить рискам, связанным с электронной почтой, телефоном, поддельными уведомлениями, конфиденциальностью и сопоставлением личных данных.

Вместо перехода по ссылкам из сообщения следует вручную ввести адрес соответствующего сервиса или воспользоваться записью в надёжном менеджере паролей. Не следует доверять сообщениям о счетах на оплату, предупреждениях об аккаунте, игровых наградах, поддержке, отправке товаров, обслуживании клиентов, записи на техническое обслуживание, публичных уведомлениях или продлении подписки без проверки через независимый канал.

Следует сократить число разрешений на маркетинговые коммуникации, ограничить указание почтовых адресов в необязательных формах и рассмотреть возможность использования отдельной электронной почты. Пользователям следует регулярно удалять старые аккаунты, ненужные поля профиля, повторяющиеся имена пользователей, а также устаревшие сведения о телефонах и адресах. Основным правилом должны стать уникальный пароль для каждого сервиса и двухэтапная проверка везде, где она доступна.

Со стороны поставщиков услуг необходимы минимизация данных, надёжная защита паролей, мониторинг журналов доступа, удаление ненужных полей и наличие заранее подготовленных процедур уведомления пользователей. В организациях, хранящих маркетинговые данные, такие поля, как адрес и пол, следует защищать не меньше, чем электронную почту. Точное объяснение масштаба также является частью работы по обеспечению безопасности; преувеличенные или неполные сведения могут подтолкнуть пользователя к неверным действиям.

Сначала пользователю следует выполнить проверку по адресу электронной почты из этой записи. Если найдено совпадение, следует исходить из того, что имя, сведения о поле и почтовый адрес могут использоваться в адресных сообщениях. Отсутствие совпадения не исключает полностью ни использования другого адреса электронной почты, ни повторного использования старого пароля; важные аккаунты также следует проверить.

Эта запись была подтверждена, а отметка о чувствительности данных сохранена; её не представляли как утечку с одного конкретного сайта. При таком оформлении поля данных оставили в виде канонических категорий на английском языке, видимое пользователю описание было написано на турецком языке и являлось оригинальным, неподтверждённые поля не добавляли, а отметку о чувствительности использовали только тогда, когда она была обоснована характером риска.