Spoutible Утечка данных

Главная опасность этого инцидента связана не только с данными профиля, но и с риском захвата аккаунта. Когда хеши паролей bcrypt, поля с секретными ключами 2FA и резервными кодами, а также токены сброса пароля оказываются доступны вместе, злоумышленники могут получить возможность напрямую захватить некоторые аккаунты или обойти второй фактор аутентификации.

Адрес электронной почты, имя, имя пользователя, номер телефона и IP-адрес позволяют составить более подробное представление о личности пользователя в социальной сети. Запись отмечена как содержащая конфиденциальные данные, поскольку поля 2FA и токенов сброса пароля содержат более важные для безопасности сведения, чем обычная информация профиля. Пользователям не следует ограничиваться сменой пароля.

Датой инцидента указано 31 января 2024 года; число затронутых записей составляет 207 114. Достоверные технические исследования подтверждают, что интерфейс сервиса Spoutible возвращает избыточные данные пользователей, а вместе с хешами паролей видны такие поля, как секретный ключ 2FA, резервный код и токен сброса пароля.

Описывая масштаб инцидента, нельзя сводить его лишь к раскрытию списка адресов электронной почты. В то же время не следует предполагать, что все пользователи указали свои номера телефонов. Суть риска, в одновременном раскрытии данных профиля и сведений, обеспечивающих безопасность аккаунта.

В группе риска находятся владельцы аккаунтов Spoutible, использующие на платформе тот же номер телефона, 2FA или пароль. Компрометация аккаунта в социальной сети может создать дополнительные риски для репутации, личных сообщений и связанных аккаунтов.

Особенно высокому риску подвергаются те, кто использует тот же пароль на других социальных платформах. Если затронуты секретные ключи 2FA или поля с резервными кодами, второй фактор необходимо настроить заново; нельзя считать, что старые коды по-прежнему надёжны.

Пользователям из затронутой группы следует сменить пароль Spoutible, завершить все сеансы и заново включить 2FA. Пароли других аккаунтов, в которых используется тот же пароль, также следует сменить. В аккаунтах электронной почты и социальных сетей нужно проверить наличие подозрительных сеансов.

Вместо того чтобы сразу открывать полученные ссылки, следует входить в соответствующий сервис через известный веб-адрес или официальное приложение. То, что звонящий знает ваше имя, адрес электронной почты, адрес, сведения о заказе или данные профиля, не доказывает, что ему можно доверять. Ни в одном разговоре со службой поддержки не следует сообщать одноразовые коды подтверждения, данные платёжной карты или пароли аккаунтов.

В долгосрочной перспективе риск снижает привычка пользоваться менеджером паролей, уникальными паролями и двухфакторной аутентификацией, а также удалять из аккаунтов ненужные персональные данные. Использование одного адреса электронной почты на разных платформах облегчает сопоставление данных из разных утечек; для важных аккаунтов можно рассмотреть отдельный адрес электронной почты или псевдоним.

Секретные ключи 2FA и резервные коды аккаунтов в социальных сетях следует хранить в защищённом хранилище и создавать заново после инцидентов безопасности, связанных с платформой. Пользователи могут рассмотреть более надёжные средства, такие как менеджеры паролей и аппаратные ключи безопасности.

Проверка в LeakData показывает, найден ли проверяемый адрес электронной почты в этой записи. Положительный результат не обязательно означает, что все поля данных точно относятся к этому пользователю; однако это достаточное предупреждение для принятия мер предосторожности. Отрицательный результат говорит лишь об отсутствии совпадения в этом наборе данных и не исключает присутствия адреса в других утечках.

При положительном результате меры по предотвращению захвата аккаунта нужно принять в приоритетном порядке. Отрицательный результат означает, что в этой записи совпадения нет; тот же адрес электронной почты следует отдельно проверить на присутствие в других утечках данных социальных сетей.

Наличие полей 2FA и токенов сброса пароля в этом инциденте требует более осторожного подхода, чем при обычных утечках паролей. Пользователю следует не только сменить пароль, но и аннулировать старые резервные коды, заново настроить двухфакторную аутентификацию и завершить активные сеансы в аккаунте. Также следует проверить способы восстановления доступа к другим аккаунтам в социальных сетях, связанным с тем же адресом электронной почты.