Утечка данных Shitexpress

Утекшие данные включают адреса электронной почты, IP-адреса, сведения об именах, физические адреса, личные сообщения и сведения о покупках. В контексте доставки физические адреса и сведения об именах усиливают угрозы, направленные непосредственно на человека. Утечка личных сообщений создаёт серьёзные риски для частной жизни, поскольку они могут раскрывать отношения между получателем и отправителем или цель заказа. Сведения о покупках могут повышать риск ущерба репутации, социальной инженерии и целенаправленного преследования, так как показывают связь человека с сервисом. IP-адреса могут использоваться для приблизительного определения местоположения и сопоставления аккаунтов. Поэтому эти записи следует считать конфиденциальными данными, а не рассматривать инцидент лишь как утечку адресов электронной почты.

Подтверждённый охват включает 23 817 затронутых аккаунтов и данные, связанные с доменом shitexpress.com. Пароли, полные номера платёжных карт, банковские счета, номера государственных удостоверений личности и документы, удостоверяющие личность, не входят в перечень подтверждённых полей данных в рамках этого инцидента. При этом адреса, сведения о покупках и личные сообщения входят в подтверждённый охват. Затронутые данные включают адреса электронной почты, связанные со счетами, подарочными картами, рекламными акциями и платёжными записями. При оценке рисков также учитываются IP-адреса и адреса электронной почты отправителей, физические адреса получателей и сообщения, добавленные к доставкам. Поле даты со значением 2022 обозначает дату инцидента, а 16 августа 2022 года, дату составления подтверждённого списка.

К группам риска относятся люди, оформляющие заказы, получатели доставок, пользователи, указанные в записях о подарочных картах или рекламных акциях, а также люди, упомянутые в поле сообщения. Наличие адреса электронной почты отправителя и адреса получателя в одной записи может позволить сделать дополнительные выводы об отношениях между ними. Сочетание адреса получателя, сведений об имени и примечания к доставке повышает риск целенаправленного мошенничества, социального давления, ущерба репутации или нежелательных контактов. IP-адреса могут дать дополнительную информацию о примерном регионе отправителя или сеансе на его устройстве. Конфиденциальность данных в таком инциденте важна не только из-за риска финансовых потерь, но и из-за вероятности нарушения неприкосновенности частной жизни и вреда в социальной сфере.

Затронутым пользователям следует проверить историю сеансов и безопасность паролей в аккаунтах, где используется тот же адрес электронной почты. Следует ожидать целевых фишинговых сообщений, даже если пароли не входят в подтверждённые категории утекших данных. Сообщения о заказах, отправке, оплате, возвратах, подарочных картах или примечаниях к доставке нужно проверять через официальные каналы, прежде чем открывать какие-либо ссылки. Людям, чьи физические адреса затронуты утечкой, следует осторожно относиться к запросам, связанным с доставкой, и телефонным обращениям из неизвестных источников. В почтовых аккаунтах следует включить многофакторную аутентификацию и обновить сведения для восстановления доступа. В важных аккаунтах, связанных с тем же адресом электронной почты, необходимо отслеживать уведомления о безопасности. Поскольку данные содержат личные сообщения, пользователям следует быть готовыми к попыткам социальной инженерии и запугивания.

Этот инцидент показывает, насколько серьёзные риски для конфиденциальности могут создавать данные о заказах и доставке. В сервисах электронной коммерции историю заказов, содержимое разделов переписки и адресные данные следует хранить лишь в течение минимального срока, необходимого для завершения операции. Со стороны пользователей долгосрочной защите способствуют отдельные адреса электронной почты для разных сервисов, надёжный менеджер паролей и многофакторная аутентификация. Со стороны компаний необходимо также защищать адреса, сообщения и записи, связанные с платежами, удалять ненужные поля и ограничивать права доступа. После подобных нарушений службы поддержки пользователей должны готовить уведомления, ясно объясняющие риски кражи личных данных и преследования.

Пользователям, увидевшим на LeakData запись об утечке Shitexpress, следует также оценить, использовался ли соответствующий адрес электронной почты для оформления заказа, получения доставки или регистрации для участия в рекламной акции. Если адрес электронной почты, физический адрес и личное сообщение присутствуют вместе, риск следует считать более высоким. Пользователю необходимо проверить историю входов в важных аккаунтах, связанных с тем же адресом электронной почты, оставить уведомления о безопасности включёнными и проверять информацию через официальный источник, прежде чем отвечать на подозрительные сообщения о доставке или оплате. Поскольку адресные данные и сведения из сообщений относятся к данным, которые нельзя изменить, следует и в долгосрочной перспективе сохранять осторожность из-за рисков поиска личных данных, целенаправленного поиска информации и социального давления.