Утечка данных Serasa Experian в Бразилии (2020)

Подтверждённые категории данных включают имена, даты рождения, сведения о поле и идентификационные номера, выданные государственными органами. В Бразилии идентификационные номера, такие как CPF, особенно важны, поскольку служат основным идентификатором человека при финансовых, административных и цифровых операциях. В сочетании с именем, датой рождения и сведениями о поле они позволяют составить подробный профиль, который можно использовать для проверки личности, мошенничества и подачи поддельных заявок. Даже если наличие паролей или данных платёжных карт не подтверждено, такие идентификационные данные создают долгосрочный риск, поскольку не меняются с годами.

Утечки, содержащие идентификационные номера, отличаются от обычных утечек паролей к аккаунтам. Пароли можно сменить, а идентификационные номера и даты рождения у большинства людей остаются неизменными. Эти сведения могут использоваться для подачи мошеннических заявок на кредит, открытия счетов, финансового мошенничества, социальной инженерии, звонков от имени службы поддержки и выдачи себя за представителей официальных учреждений. Кроме того, при сопоставлении с другими наборами данных имя, дата рождения и пол повышают вероятность установления адреса человека, его номера телефона, дохода или сведений из социальных профилей. Поэтому запись об утечке Serasa Experian в Бразилии в 2020 году указывает на риск, связанный с конфиденциальными персональными данными, даже если паролей в ней нет.

Подтверждённый охват этой записи составляет 223 739 215 человек. Данные были отнесены к концу 2020 года, а время появления публичной информации об утечке, к январю 2021 года. Основные подтверждённые поля, имя, дата рождения, пол и идентификационный номер. В некоторых новостных публикациях и исследовательских материалах упоминались адреса, телефоны, кредитные рейтинги, доходы, сведения о транспортных средствах и другие персональные данные. Однако в перечне категорий данных этой записи оставлены только те поля, которые можно подтвердить на её уровне. Такой подход выбран сознательно, чтобы не представлять пользователю неподтверждённые сведения как установленные факты.

Ограничения в установлении источника также следует указывать явно. Набор данных распространялся под названием Serasa Experian, и многие наблюдатели указывали на эту компанию исходя из характера данных. Тем не менее не подтверждено ни то, что системы компании были скомпрометированы, ни то, что данные поступили непосредственно из её базы. Поэтому в поле источника следует указать, что происхождение утечки не подтверждено. Для пользователя это различие не означает низкого риска. Когда речь идёт о неизменных сведениях, таких как идентификационные номера и даты рождения, спор о происхождении данных не оправдывает откладывание защитных мер.

В группу наибольшего риска входят люди в Бразилии, у которых есть идентификационный номер, кредитный профиль или запись в базе потребителей. По сообщениям, набор данных может содержать записи как о живых, так и об умерших людях. Это может повышать риск мошенничества, связанного с наследством, семьёй, телефонными номерами и финансами. Идентификационный номер и дату рождения по-прежнему могут запрашивать как дополнительные сведения для подтверждения личности при звонках в службу поддержки или онлайн-проверках, что может дать злоумышленнику преимущество. Поддельные заявки от имени человека, ложные уведомления о задолженности или сообщения от имени официальных учреждений могут выглядеть убедительнее.

Во вторую группу риска входят люди, чьи идентификационные данные можно сопоставить с другими наборами данных по электронной почте, телефону или адресу. Даже если электронная почта или телефон в этом наборе не указаны как подтверждённые категории данных, объединение имени и идентификационного номера со сведениями из других утечек может позволить составить более полный профиль. Поэтому осторожность следует проявлять тем, кто пользуется финансовыми услугами, подаёт заявки на кредит, владеет мобильным номером или получает государственные услуги. Кроме того, сообщения о платежах, долгах, посылках, здоровье или официальных уведомлениях, отправленные от имени членов семьи, также могут использовать идентификационные данные, чтобы казаться достоверными.

Первый шаг, внимательнее проверять неожиданные сообщения, содержащие идентификационные номера и персональные сведения. Не следует сразу доверять сообщениям о кредитах, долгах, платежах, государственной помощи, налогах, банках, телефонных номерах или официальных документах. Само по себе наличие в сообщении правильного имени, даты рождения или идентификационного номера не доказывает его достоверность. Запросы от имени финансовых организаций, операторов связи или государственных ведомств следует проверять по независимому каналу, через официальный сайт или контактный центр, подлинность которого подтверждена.

Второй шаг, регулярно отслеживать финансовые и административные операции. Следите за кредитными заявками, уведомлениями банков, операциями с телефонными номерами и оповещениями официальных учреждений. Если вы заметили подозрительную заявку или операцию, как можно скорее свяжитесь с соответствующей организацией и, если возможно, начните официальную процедуру оспаривания. Не сообщайте по телефону идентификационные номера, даты рождения и сведения о семье. Одновременно следует усилить защиту электронной почты и мобильных номеров, а также включить многофакторную аутентификацию для важных аккаунтов, которые её поддерживают.

Долгосрочная стратегия при такой утечке идентификационных данных не сводится к смене паролей. Пользователям следует регулярно проверять свои финансовые операции, кредитные заявки и процедуры подтверждения личности. Для аккаунтов в банках и у операторов связи нужно использовать надёжные пароли, многофакторную аутентификацию и уведомления об операциях. Неизменные сведения, такие как идентификационные номера или даты рождения, не стоит выбирать в качестве ответов на контрольные вопросы для восстановления доступа. По возможности следует использовать дополнительные пароли, ключи безопасности или аутентификацию через приложение.

Для организаций вывод ещё более очевиден: наборы идентификационных данных следует защищать по принципу минимально необходимых прав доступа, сокращать сроки хранения и удалять ненужные копии. При работе с поставщиками и посредниками в сфере данных необходимо регулярно проверять, какие сведения хранятся, где и как долго, а также кто получал к ним доступ. Пользователям, в свою очередь, следует оценивать необходимость передачи данных каждому новому сервису, который запрашивает их персональную информацию, не заполнять необязательные поля и по возможности оставлять уведомления включёнными. Снижение рисков, связанных с неизменными идентификационными данными, требует постоянного внимания и регулярного контроля.

Проверка по записи Serasa Experian в Бразилии за 2020 год на LeakData помогает понять, связаны ли ваши сведения с этой утечкой. Если результат положительный, прежде всего чаще отслеживайте финансовые и административные операции, связанные с вашим идентификационным номером. Не переходите по ссылкам в неожиданных сообщениях о кредитах, долгах, телефонных номерах, налогах, курьерской доставке или коммунальных услугах; проверяйте запрос через отдельный надёжный канал. Не сообщайте персональные данные по телефону или в сообщениях. Используйте надёжные пароли и многофакторную аутентификацию для банковских аккаунтов, электронной почты и аккаунтов мобильной связи.

Поскольку эта утечка не затронула пароли, одной смены пароля недостаточно. Основной риск заключается в том, что идентификационные данные могут долго использоваться для мошенничества и социальной инженерии. Имя, дата рождения, пол и идентификационный номер могут применяться для подачи поддельных заявок или попыток выдать себя за другого человека даже спустя годы. Поэтому основа долгосрочной защиты, оставлять финансовые уведомления включёнными, быстро сообщать о подозрительных операциях, осторожно относиться к сообщениям от имени официальных учреждений и сокращать передачу персональных данных.