Предполагаемое раскрытие данных SmartHem

Перед созданием записи о SmartHem существующие записи проверили на совпадения по названию, домену, похожему названию бренда, дате инцидента и числу записей. Записи о том же инциденте не обнаружили, поэтому эту запись сохранили как отдельную. Записи с похожими названиями, но другими доменами или другими инцидентами при принятии этого решения не учитывались.

Число записей в рассматриваемых списках может немного отличаться от числа записей, сведения о которых удаётся проверить. Причиной могут быть различия в подсчёте исходных строк, уникальных аккаунтов, повторяющихся адресов электронной почты, очищенных записей или заново сформированных наборов данных. На этой странице за основу взято не самое большое из встречавшихся чисел, а значение 53 971, которое последовательно подтверждается вместе с типами данных.

Контекст SmartHem важен: пользователи, покупающие товары для дома и повседневного потребления, могут использовать одни и те же адреса электронной почты и подходы к выбору паролей на разных торговых сайтах. В случае этой шведской платформы электронной коммерции утекшие пароли могут создавать риск не только для старого аккаунта магазина, но и для аккаунтов в других торговых и платёжных сервисах.

Хотя набор типов данных в случае SmartHem кажется ограниченным, обнаружение паролей в открытом виде повышает риск. Если пароль от аккаунта магазина также использовался для электронной почты, маркетплейса, приложения доставки или платёжного сервиса, злоумышленники могут быстро попробовать ту же комбинацию.

Риск в инциденте SmartHem выше, чем при обычной утечке адресов электронной почты, поскольку были обнаружены пароли в открытом виде. Эти сведения сокращают время, которое злоумышленникам требуется для подбора, упрощают автоматизированные попытки входа в другие сервисы с тем же паролем и делают сообщения о сбросе пароля более убедительными.

Сам по себе адрес электронной почты может казаться незначительным объёмом персональных данных, но в сочетании с именем пользователя, IP-адресом, паролем или сведениями профиля он становится действенным инструментом для атак. Если пользователь использует один адрес электронной почты для работы, покупок, форумов, игр, финансовых сервисов или социальных сетей, последствия могут выйти за пределы затронутой платформы.

Хотя этот инцидент произошёл в прошлом, он по-прежнему важен с точки зрения безопасности. Значительная часть пользователей повторно использует старые шаблоны паролей с небольшими изменениями. Поэтому даже спустя годы старая утечка, подобная SmartHem, может использоваться для подбора паролей, автоматизированной проверки утекших учётных данных на других сервисах и целевого фишинга.

Первый шаг для пользователей, вспомнить, какие адрес электронной почты и пароль они могли использовать в прошлом на SmartHem или smarthem.se. Если на других аккаунтах использовались пароли с той же основой, недостаточно изменить пароль только на затронутом сайте: все повторно используемые пароли необходимо заменить уникальными случайными паролями.

Использование менеджера паролей, одна из наиболее эффективных мер после этого инцидента. Отдельный пароль для каждого сайта не позволяет одной утечке по цепочке затронуть другие аккаунты. Также следует проверить старые пароли, сохранённые в браузере, и заменить слабые или повторяющиеся.

Двухфакторную аутентификацию следует включить в первую очередь для электронной почты, менеджеров паролей, финансовых аккаунтов, профилей в социальных сетях, игровых аккаунтов и административных панелей. Аутентификация через приложение или аппаратные ключи безопасности обеспечивают более устойчивую защиту, чем аутентификация по SMS.

В аккаунте электронной почты следует проверить правила пересылки, адреса для восстановления доступа, подключённые приложения, список доверенных устройств и недавние сеансы. Даже если злоумышленник не может напрямую получить доступ к аккаунту SmartHem, через электронную почту он может атаковать процедуры сброса пароля в других сервисах.

Для фишинга могут использоваться название старого сервиса, имя пользователя, сведения о сфере деятельности или дата регистрации. Пользователям следует самостоятельно вводить адрес сайта вместо прямого перехода по ссылкам из полученных сообщений, не открывать вложения без проверки и настороженно относиться к сообщениям, требующим немедленных действий.

Риск необходимо оценивать и для корпоративных пользователей. Если сотрудник использовал рабочую почту для аккаунта, который выглядит личным, злоумышленники могут попробовать тот же пароль в системах компании. Поэтому важны проверки безопасности по доменам, многофакторная аутентификация и средства контроля, выявляющие повторное использование паролей.

Для владельцев сайтов основной вывод касается хранения паролей и минимизации данных. Хранение паролей в открытом виде или в виде быстро взламываемых хешей напрямую ослабляет безопасность пользователей. В современных системах следует применять стойкие, намеренно медленные методы хеширования паролей с солью, а устаревшие форматы хешей постепенно обновлять при входе пользователей.

Необходимо регулярно проверять резервные копии, тестовые среды, файлы экспорта, устаревшее программное обеспечение форумов, административные панели и избыточные права доступа. Многие утечки происходят не через видимую часть основного приложения, а через забытые вспомогательные системы или аккаунты с широкими полномочиями.

В организациях без плана реагирования на инциденты задерживаются уведомление пользователей, сброс паролей, анализ журналов и проверка связанных систем. Следует заранее определить, какие системы будут отслеживаться, какие записи будут сохраняться, какие пользователи получат уведомления и какие резервные копии будут проверяться.

То, что сайт на домене SmartHem сейчас не обеспечивает нормальную работу для пользователей, может затруднять прямой доступ к старым аккаунтам. Это не устраняет риск: если утекший пароль ранее использовался для других аккаунтов, эти данные всё ещё могут быть полезны в цепочке атаки.

Пользователи могут предполагать, что сайты, продающие товары для дома и повседневной жизни, также хранят адрес доставки, платёжные сведения или историю покупок. Однако в этой записи непосредственно подтверждены только адреса электронной почты и пароли; неподтверждённые поля с адресами или платёжными данными не добавлялись.

Ориентация сервиса на шведский рынок может повышать вероятность повторного использования паролей в потребительских аккаунтах внутри одной страны. Если пользователь зарегистрировался в других местных магазинах с тем же адресом электронной почты, эти аккаунты также следует проверить.

При атаках на аккаунты электронной коммерции злоумышленники иногда готовят сообщения, похожие на настоящие уведомления о заказах. Поэтому сообщения с названием старого магазина, темой возврата, проблемой доставки или предложением купона на скидку также следует считать подозрительными.

Логотип для страницы SmartHem оставили в виде простого локального изображения, поскольку действующий сайт отвечал нестабильно. Благодаря этому запись остаётся доступной пользователям без проблем с отображением изображения, а адрес сайта хранится без указания протокола.

Непроверенные типы данных намеренно исключены из этой записи. Для доверия пользователей важнее ясно показать подтверждённые поля, чем составить более длинный список категорий данных. Цель страниц об утечках, не запугивать, а чётко объяснять реальный объём утечки и применимые меры безопасности.

Эта страница подготовлена, чтобы предоставить понятную и практическую информацию об инциденте, упоминаемом под такими названиями, как утечка данных SmartHem, утечка данных smarthem.se, утечка паролей SmartHem и данные пользователей SmartHem. Текст описывает подтверждённые сведения и практические меры безопасности.

Увидев эту запись, пользователям следует оценить не только аккаунт на затронутой платформе, но и другие аккаунты, созданные с тем же адресом электронной почты. Аккаунты, в которых повторно используются старые пароли, становятся первоочередной целью злоумышленников. Закрытие старых аккаунтов также снижает риск в долгосрочной перспективе.

Чтобы уменьшить повторное использование паролей, в новые пароли не следует включать названия брендов, годы рождения, имена пользователей, названия команд, увлечения, города или легко угадываемые дополнения. Небольшое число или специальный символ в конце пароля не делают его безопасным: инструменты злоумышленников быстро проверяют такие шаблоны.

Контрольный список «Безопасность аккаунтов» прост: сменить старый пароль, сменить пароль во всех аккаунтах, где использовался тот же пароль, включить двухфакторную аутентификацию, проверить сведения для восстановления электронной почты, завершить неизвестные сеансы и вводить адрес сайта напрямую вместо перехода по ссылкам из подозрительных сообщений.

Командам безопасности следует проверить эту запись на наличие адресов электронной почты с доменами сотрудников. Корпоративные адреса, использованные в старых аккаунтах форумов, магазинов, финансовых сервисов или сообществ, могут пополнить списки целей злоумышленников.

В таких инцидентах минимизация данных имеет решающее значение. Не следует собирать ненужные сведения профиля; неактивные аккаунты нужно удалять в соответствии с разумными правилами хранения, доступ к чувствительным полям (ограничивать, а операции экспорта данных) дополнительно контролировать.

Вместо паники пользователям стоит привести аккаунты в порядок. Закрытие старых и забытых аккаунтов, удаление ненужных регистраций, обновление адресов для восстановления доступа и включение уведомлений о входе в важные аккаунты обеспечивают постоянную защиту.

Уровень риска на этой странице определён как критический с учётом числа затронутых аккаунтов, вида сведений о паролях, возможности захвата аккаунтов с помощью этих категорий данных и наличия в инциденте учётных данных, пригодных для повторного использования. Критический уровень не означает, что неправомерное использование точно произошло, но указывает на необходимость быстрых действий со стороны пользователя.

Таким образом, эта отдельная запись об утечке данных SmartHem описывает инцидент апреля 2018 года, затронувший 53 971 аккаунт, и включает адреса электронной почты и пароли в открытом виде. Пользователям рекомендуется использовать уникальные пароли, включить двухфакторную аутентификацию, проверить настройки безопасности электронной почты и отслеживать уведомления о подозрительных входах.

Поскольку в записи SmartHem числовое значение, название и домен оцениваются вместе, неоднозначные пункты списков, распространяемых под тем же названием, не были перенесены на эту страницу. Запись, которую видит пользователь, ограничена подтверждённым доменом и периодом инцидента.

Особенно важно не расширять список категорий данных без оснований: добавление неподтверждённых полей искажает оценку риска пользователем. Поэтому утверждения о данных, помимо адресов электронной почты и паролей в открытом виде, не представлены в этой записи как доказанные.

О старых регистрациях, связанных с доменом smarthem.se, пользователи могли забыть. Если сменить пароль в забытом аккаунте невозможно, более реалистичная первоочередная задача, найти другие сервисы, где используется тот же пароль, и защитить их.

Когда имя пользователя или адрес электронной почты сопоставляют с другими утечками, злоумышленникам становится легче делать предположения об интересах человека, его стране, сфере деятельности или прежних привычках регистрации на сайтах. Поэтому даже если отдельная утечка кажется небольшой, совокупный риск выше.

Организациям следует обсуждать использование рабочей почты для личных регистраций сотрудников на регулярных занятиях по повышению осведомлённости о безопасности. Такие записи служат предупреждающим сигналом и помогают оценивать повторное использование паролей и присутствие сотрудников под рабочими адресами электронной почты на платформах, используемых в личных целях.

Если пользователь видит в этой записи свой адрес электронной почты, в первую очередь следует заняться наиболее важными аккаунтами: электронной почтой, банковским или инвестиционным аккаунтом, менеджером паролей, облачным хранилищем, социальными сетями и часто используемыми аккаунтами магазинов.

Если аккаунт можно закрыть, удаление ненужных старых регистраций также будет полезным шагом. Для аккаунтов, которые нельзя закрыть, следует как минимум установить уникальный пароль, сократить сведения профиля до необходимого минимума и включить уведомления о входе.