Утечка данных Stripchat

Проверенные поля данных, адреса электронной почты, IP-адреса и имена пользователей. Адрес электронной почты может помочь связать пользователя с его аккаунтами на разных сервисах. Если такое же или похожее имя пользователя используется в социальных сетях, на форумах, в играх, на работе или в других сообществах, риск сопоставления профилей возрастает. IP-адрес не обязательно позволяет определить точный домашний адрес, однако может дать сведения о примерном регионе, интернет-провайдере или подключении во время сеанса. В совокупности эти три поля повышают риски целенаправленного установления личности, поддельных сообщений от службы поддержки, преследования, попыток публичного унижения и выявления аккаунтов.

Важное ограничение: пароли не входят в этот проверенный набор данных аккаунтов. Тем не менее пользователям следует остерегаться поддельных уведомлений, поступающих на тот же адрес электронной почты. Злоумышленник может подготовить правдоподобные сообщения, используя название сервиса деликатного характера и адрес электронной почты, даже не зная пароля. Поэтому при оценке риска следует учитывать не только возможность захвата аккаунта, но и раскрытие связи человека с этим сервисом, а также возможное социальное давление из-за такой связи.

Проверенный набор данных для поиска аккаунтов в связи с инцидентом Stripchat включает 10 001 355 записей. В качестве даты инцидента следует указывать 5 ноября 2021 года, а в качестве даты включения в проверенный список: 31 августа 2022 года. Хотя в технических уведомлениях упоминается раскрытие более широкого объёма данных из базы, включая сведения об обработке и контекст сообщений, а также записи пользователей и моделей, на LeakData эта запись ограничена проверенными полями для сопоставления, которые показываются пользователю: адресом электронной почты, IP-адресом и именем пользователя. Это разграничение необходимо, чтобы пользователь понимал свои реальные риски и чтобы в запись не добавлялись неподтверждённые поля.

Для этого инцидента пароли, хеши паролей, платёжные карты, банковские счета, номера государственных удостоверений личности, физические адреса, номера телефонов или изображения документов не следует включать в проверенные данные для поиска аккаунтов. Кроме того, нельзя предполагать, что каждая запись соответствует одному реальному человеку: у одного человека может быть несколько аккаунтов, старые адреса электронной почты или повторяющиеся имена пользователей. Если ограничить запись идентификаторами аккаунтов на платформе с контентом для взрослых, она останется точной и понятной пользователю.

Наибольшему риску подвергаются люди, у которых адрес электронной почты, используемый для аккаунта Stripchat, связан с настоящим именем, работой, социальными сетями или другими аккаунтами деликатного характера. Тех, кто использует одно и то же имя пользователя на нескольких платформах, также легче идентифицировать. Сочетание адреса электронной почты и имени пользователя упрощает злоумышленнику поиск других профилей человека и подготовку персонализированных сообщений. Поскольку IP-адрес может также дать представление о регионе или интернет-провайдере, он позволяет сделать сообщения, основанные на социальной инженерии, более убедительными.

Для тех, кто зарегистрировался с корпоративным адресом электронной почты, риск может распространяться и на рабочую среду. Повышается вероятность того, что связь с сервисом деликатного характера будет использована для адресного унижения человека, шантажа, поддельных запросов на оплату, уведомлений о продлении подписки или предложений удалить аккаунт. Даже давняя регистрация может создавать риск сегодня: адреса электронной почты используются долго, поэтому злоумышленники могут использовать прежние связи с сервисами для доступа к текущим аккаунтам или давления на человека.

Если у пользователя найдено совпадение, в первую очередь следует проверить почтовый аккаунт, адреса для восстановления доступа и активные сеансы. В почтовом аккаунте необходимо немедленно удалить неожиданные сообщения о сбросе пароля, подозрительные фильтры и неизвестные правила пересылки, а также завершить посторонние сеансы. Не следует отвечать на сообщения, в которых используется название Stripchat, запрашивается оплата, говорится, что ваш аккаунт будет удалён, или отправляется ссылка под предлогом проверки личности. Из-за деликатного характера сервиса входящие сообщения могут выглядеть достоверными; безопаснее проверить их, самостоятельно перейдя на официальный канал.

Даже если пароли не входят в число проверенных полей данных, для важных аккаунтов, связанных с тем же адресом электронной почты, следует использовать уникальные и длинные пароли. Для почтовых аккаунтов, социальных сетей, финансовых сервисов, облачных и рабочих аккаунтов необходимо включить многофакторную аутентификацию. Если такое же имя пользователя встречается в других профилях, следует пересмотреть настройки конфиденциальности, сократить число общедоступных ссылок на профили и закрыть ненужные аккаунты. В случае вымогательства или преследования в сообщениях следует сохранить доказательства и рассмотреть возможность обращения к соответствующей платформе и местным органам власти.

В долгосрочной перспективе к наиболее эффективным мерам защиты относятся отдельный адрес электронной почты для сервисов деликатного характера, использование разных имён пользователя на разных платформах и сокращение избыточной информации в профилях. Маскирование адресов электронной почты, менеджеры паролей и многофакторная аутентификация при совместном использовании снижают риски фишинга с использованием личных данных и выявления аккаунтов. Пользователям следует регулярно проверять свои старые аккаунты в сервисах, закрывать неиспользуемые аккаунты и поддерживать актуальность данных для восстановления доступа.

Для поставщиков услуг этот инцидент показывает, что незащищённый доступ к базе данных, не просто техническая ошибка. Сервисы с контентом для взрослых и другие сервисы деликатного характера должны минимизировать объём данных, постоянно контролировать меры управления доступом и не хранить журналы событий и данные аккаунтов дольше необходимого. При информировании пользователя об инциденте следует чётко указывать, какие поля были проверены, какие не были проверены и какая дата относится к самому событию, а какая, к включению в список. Такая ясность снижает излишнюю панику и помогает выбрать правильные действия.

Положительный результат проверки означает, что введённый адрес электронной почты входит в проверенный набор данных аккаунтов, связанный со Stripchat. В этом случае адрес электронной почты, IP-адрес и имя пользователя следует рассматривать как источники риска. Отрицательный результат означает, что в этом конкретном наборе данных совпадение не найдено; он не доказывает, что данные человека не фигурировали в какой-либо другой утечке. Из-за деликатного характера сервиса результат следует оценивать не только с точки зрения технической безопасности, но и с учётом рисков для конфиденциальности и социальных рисков.

Пользователю следует защитить почтовый аккаунт, включить многофакторную защиту, проверить общедоступные профили с тем же именем пользователя, остерегаться поддельных сообщений от службы поддержки или запросов на оплату и закрыть ненужные старые аккаунты. Даже если пароль не является проверенным полем в этом наборе данных, для важных аккаунтов по-прежнему следует использовать уникальные пароли. Инцидент Stripchat показал, что цифровые следы, позволяющие установить личность на сервисах с контентом для взрослых, могут создавать долгосрочные риски, поэтому действия пользователей должны быть направлены как на безопасность, так и на конфиденциальность.