Утечка данных ShopBack

В результате инцидента в ShopBack были раскрыты адреса электронной почты, сведения о стране или географическом местоположении, имена, номера телефонов и хеши паролей. Расследование регулятора также подтвердило, что в сингапурской части утечки содержались около 300 000 номеров банковских счетов и частичные данные кредитных карт примерно 380 000 человек. Пароли хранились в виде хешей SHA-1 с солью, а не в открытом виде. Добавление соли замедляет атаки, но SHA-1 не обеспечивает безопасность слабых паролей. Адрес электронной почты, имя, номер телефона и сведения о стране позволяют персонализировать поддельные сообщения о возврате средств, выводе кешбэка или проверке аккаунта. Сведений о банковском счете и частичных данных карты недостаточно для непосредственного проведения транзакции, но они могут помочь мошеннику войти в доверие. Полные номера карт, коды безопасности, остатки кешбэка, даты рождения, пол и подробные истории покупок не подтверждены как структурированные категории раскрытых данных. Финансовые сведения были подтверждены в ходе регионального расследования, поэтому нельзя считать, что они присутствуют в каждой записи глобального набора данных.

Инцидент начался с того, что в июне 2019 года ключ доступа к облачной среде с полными правами случайно сохранили в закрытом репозитории исходного кода. Его удалили из текущей версии файла, но он остался в истории изменений и не был полностью отключен при ротации ключей. Примерно 15 месяцев спустя, 9 сентября 2020 года, злоумышленник использовал его, чтобы проникнуть в облачную среду, изменить настройки безопасности и извлечь записи о клиентах. ShopBack обнаружила этот доступ во время плановой проверки 17 сентября; именно эта дата остается основной датой утечки, тогда как 9 сентября указано как дата атаки. Компания удалила ключ, обновила ключи доступа и принудительно завершила сеансы всех клиентов, потребовав сбросить пароли. Базу данных выставили на продажу 12 ноября 2020 года. Число 20 529 819, это глобальное количество уникальных адресов электронной почты; показатель регулятора, превышающий 1,4 миллиона, относится к Сингапуру и не должен прибавляться к нему. Это разграничение не позволяет завышать общее число записей за счет региональных показателей.

Основная группа риска, люди, которые создали аккаунт ShopBack до 2020 года и указали адрес электронной почты, номер телефона или страну. Те, кто использовал тот же пароль, что и в ShopBack, для электронной почты, покупок, туристических или финансовых сервисов, подвергаются повышенному риску захвата аккаунтов. В ходе проверки в Сингапуре были обнаружены около 1,4 миллиона адресов электронной почты, 840 000 имен, 450 000 номеров мобильных телефонов, 300 000 банковских счетов и 380 000 записей с частичными данными карт; нельзя считать, что по каждому человеку были раскрыты все эти сведения. Электронная почта, номер телефона и факт использования кешбэк-сервиса могут помочь составить поддельные сообщения об остатке средств, выводе денег, возврате платежей или акциях. Частичные финансовые сведения могут придать правдоподобие звонкам мошенников, выдающих себя за банк или эмитента карты. Отказ от использования аккаунта не устраняет риск, поскольку контактные данные и повторно используемые пароли могут оставаться действительными годами. Полнота записей различается, поэтому одно лишь совпадение адреса электронной почты не доказывает, что для этого человека были раскрыты все перечисленные данные.

Если вы не меняли пароль ShopBack с 2020 года, замените его сейчас на длинный и уникальный. Измените похожие учетные данные в других аккаунтах, начиная с основной электронной почты, сервисов для покупок и финансовых сервисов. Запускайте сброс пароля из приложения или с официального сайта, адрес которого вы ввели самостоятельно, а не по ссылке из неожиданного сообщения. Завершите активные сеансы, проверьте адрес электронной почты и номер телефона для восстановления доступа и включите многофакторную аутентификацию там, где она доступна. Клиентам, которые предоставляли сведения о банковском счете или карте, следует отслеживать операции и уведомления и при появлении незнакомой транзакции обращаться в финансовую организацию через ее официальный канал связи. Никогда не сообщайте пароль, одноразовый код, полный номер карты или код безопасности в ответ на сообщение, якобы связанное с кешбэком, выводом средств, возвратом платежа или акцией.

Менеджер паролей, который создает отдельный пароль для каждого сервиса, не позволяет использовать один старый хеш для доступа к другим аккаунтам. Поскольку через электронную почту можно восстановить доступ к финансовым сервисам и сервисам для покупок, защитите ее своим самым надежным паролем и устойчивым к атакам вторым фактором, например приложением-аутентификатором или ключом безопасности. Включите уведомления по банковским счетам и картам, выясняйте причину даже небольших пробных списаний и регулярно проверяйте данные для восстановления доступа. Закройте аккаунты в сервисах для покупок, которыми больше не пользуетесь, и не храните в них необязательные сведения о телефоне, местоположении или платежах. Мониторинг утечек, проверка сеансов и умение распознавать фишинг помогают поддерживать защиту в долгосрочной перспективе. Относитесь серьезно к адресным сообщениям даже спустя годы: украденные наборы данных могут копировать, перепродавать и объединять с более свежей информацией.

Проверьте свой адрес электронной почты с помощью LeakData, чтобы узнать, совпадает ли он с адресом в данных утечки ShopBack или другой подтвержденной утечки. Совпадение означает, что адрес входит в общее число 20 529 819 уникальных адресов электронной почты, учтенных в этой утечке; оно не доказывает, что вы входили в сингапурскую группу примерно из 1,4 миллиона человек или что банковские сведения и частичные данные карт относятся к вам. Изучите дату утечки и категории данных, вспомните, где вы повторно использовали свой пароль 2020 года, и начните с аккаунтов, через которые можно получить доступ к электронной почте и деньгам. Никогда не вводите в поле поиска пароль, номер банковского счета или данные карты: достаточно адреса электронной почты. Постоянный мониторинг может выявить данные, опубликованные или вновь распространенные позднее. Продолжайте использовать уникальные пароли, многофакторную аутентификацию и уведомления об операциях, даже если совпадений не найдено.