Утечка данных SuperDraft

В этом инциденте перечислены следующие типы данных: даты рождения, адреса электронной почты, географическое местоположение, пары координат широты и долготы, пароли, сведения о покупках и имена пользователей. Координаты широты и долготы и сведения о покупках могут затронуть не только аккаунт пользователя, но и информацию о его физическом местонахождении и истории операций. Совместное использование этих полей может привести к захвату аккаунта, социальной инженерии, мошенничеству, целенаправленному воздействию в физическом мире или нарушению конфиденциальности.

По имеющимся сведениям, пароли связаны с хеш-значениями bcrypt. Надежный метод хеширования снижает риск, но при повторном использовании паролей риск сохраняется. Если запись содержит пароли, использование тех же или похожих паролей в других сервисах становится одним из наиболее существенных рисков. В записях без паролей сведения об устройстве, местоположении, телефоне, адресе, образовании, заявках на трудоустройство или финансовом контексте могут сделать адресные сообщения более убедительными.

Запись охватывает примерно 300 000 клиентских аккаунтов, связанных с доменом superdraft.io. Инцидент отнесен к категории подтвержденных записей. При оценке охвата отдельно проверялись число аккаунтов, домен, отрасль, страна и категории данных. Пользователю показаны только те поля, которые действительно перечислены в записи.

В категории данных добавлено поле с координатами широты и долготы, отсутствовавшее в предыдущей записи. Такое разграничение особенно важно при похожих названиях брендов, в записях, охватывающих несколько сервисов, и в чувствительных отраслях. Запись не объединяли с другим событием и не расширяли так, чтобы это привело к появлению дубликатов. Контекст, связанный с компанией, уточнен настолько, насколько это возможно.

В зоне риска находятся клиенты SuperDraft, которые используют одно и то же имя пользователя в спортивных или игровых аккаунтах, а также пользователи, чьи записи содержат сведения о местоположении. Основной риск для этих людей заключается в том, что раскрытые данные можно сопоставить с совпадающими сведениями из других аккаунтов. Если адрес электронной почты, номер телефона, имя пользователя, идентификатор устройства или пароль повторяются, злоумышленники могут попытаться использовать их в других сервисах.

Контекст фэнтези-спорта может использоваться для обмана с помощью поддельных сообщений о вознаграждениях, платежах, получении призов или проверке аккаунта. Для корпоративных пользователей особенно значимы рабочая электронная почта и сведения о задачах, а для частных пользователей, адрес, дата рождения, покупки, местоположение или сведения об участии в сервисе. В таких сферах, как образование, телекоммуникации, финансы, путешествия, политика, заявки на трудоустройство и VPN, сам контекст также может повышать риск целенаправленных атак.

Пострадавшим пользователям следует сменить пароли, проверить историю платежей и покупок и выяснить, нет ли в их аккаунтах неизвестных сеансов. Если в записи указан пароль или похожее на пароль поле, необходимо сменить пароль во всех аккаунтах, где он используется, установить уникальные пароли и по возможности включить многофакторную аутентификацию. Действий только на одной платформе может оказаться недостаточно.

Если присутствуют такие поля, как телефон, адрес, дата рождения, идентификатор устройства, данные документа, удостоверяющего личность, заявка на трудоустройство или баланс вознаграждений, пользователям следует проверить сведения для восстановления аккаунта, зарегистрированные сеансы, переадресацию электронной почты и подозрительные сообщения. Организациям следует обновить процедуры противодействия угрозам, связанным с уведомлениями для сотрудников, поддельными счетами и попытками проверки аккаунтов.

В аккаунтах спортивных сервисов и игр с призами следует ограничивать данные о местоположении и платежах, если они не нужны, и регулярно проверять безопасность аккаунтов. В долгосрочной перспективе основу защиты составляют менеджер паролей, уникальные пароли, многофакторная аутентификация, закрытие старых аккаунтов, удаление ненужных полей профиля и минимизация данных. Поскольку постоянные персональные данные невозможно вернуть под свой контроль, защита опирается на более безопасное использование аккаунтов.

Компаниям и организациям следует пересмотреть инвентаризацию после инцидента, права доступа, хранение старых данных, процессы уведомления и использование сторонних платформ. Пользователям устойчивую защиту обеспечивают отказ от повторного использования одних и тех же идентификационных сведений в разных сервисах и привычка проверять подозрительные обращения через другой канал связи.

Если эта запись относится к вам, проверьте все спортивные, игровые и платежные аккаунты, в которых используется та же пара «адрес электронной почты, пароль». При обнаружении совпадения сначала ознакомьтесь с перечнем полей данных, а затем определите приоритетные действия в зависимости от этих полей. Если указан пароль, в первую очередь смените его; если данные документа, удостоверяющего личность, отслеживайте их использование; если сведения о местоположении или устройстве, уделите внимание безопасности устройства; если сведения об образовании или заявках на трудоустройство, в первую очередь проверьте свои аккаунты в соответствующих учебных заведениях или организациях.

Итоговая оценка: эта запись отнесена к категории чувствительных, поскольку объединяет поля с паролем, датой рождения, покупками и местоположением. Сопоставьте эту запись с историей своих аккаунтов и отдельно проверьте сервисы, в которых используете тот же адрес электронной почты, номер телефона, имя пользователя или пароль. После инцидента неожиданный звонок, сообщение, электронное письмо или уведомление о восстановлении аккаунта следует рассматривать как источник повышенного риска.