Утечка данных SuperVPN & GeckoVPN

К подтверждённым категориям данных относятся адреса электронной почты, сведения об устройствах, серийные номера устройств, номера IMSI, географическое местоположение и история входов. Поле с географическими данными указывает страну, из которой был выполнен вход; оно не подтверждает, что были раскрыты точные координаты GPS. История входов может содержать даты и время обращения пользователя к сервису. Адрес электронной почты позволяет напрямую связаться с человеком и сопоставить его аккаунты, что повышает вероятность целевого фишинга. Постоянные идентификаторы, такие как серийные номера и номера IMSI, могут упростить привязку отдельных записей к одному устройству. Пароли, имена пользователей, полные имена и платёжные данные не входят в число подтверждённых категорий этого набора данных, поэтому ранние сообщения о таких полях здесь не представлены как подтверждённое раскрытие.

Основная дата инцидента: 25 февраля 2021 года. В первых сообщениях, опубликованных на следующий день, говорилось о пользователе форума, который предлагал к продаже архивы, связанные с несколькими бесплатными VPN-сервисами для Android. Позднее проверенный набор из 20 339 937 уникальных записей с адресами электронной почты был внесён в каталог как утечка SuperVPN и GeckoVPN. В том же файле обнаружилось небольшое число записей, связанных с третьим VPN-приложением, что позволяет предположить, что сервисы могли использовать общую платформу или инфраструктуру данных. В первоначальном объявлении о продаже упоминались общедоступные базы данных и учётные данные для доступа, заданные по умолчанию, однако независимых подтверждений того, что причиной утечки стал именно этот способ доступа, получено не было. Запись классифицирована как подтверждённая утечка, а не как сборник учётных данных, результат работы вредоносной программы для кражи информации или утверждение, основанное лишь на непроверенном сообщении на форуме.

Наибольшему риску подвергаются те, кто к началу 2021 года пользовался Android-приложением SuperVPN или GeckoVPN и подключался к сервису с использованием адреса электронной почты. Те, кто использовал тот же адрес для других аккаунтов, могут получать более убедительные сообщения с упоминанием использования VPN. Сведения о стране и времени входов могут помочь мошеннику составить сообщение о поездке, проблемах с подключением или продлении подписки. Модель устройства, его серийный номер или IMSI сами по себе не раскрывают пароль аккаунта, но могут сделать убедительнее попытки социальной инженерии, призванные создать впечатление, что отправитель уже знаком с пользователем или его устройством. Точные координаты GPS, содержимое сообщений, история посещения сайтов и интернет-трафик, передававшийся через VPN, не входят в подтверждённый объём утечки; делать вывод об их раскрытии на основании этой записи нельзя.

В первую очередь проверьте почтовый аккаунт, связанный с SuperVPN или GeckoVPN: нет ли незнакомых сеансов, предупреждений безопасности и неожиданных запросов на сброс пароля. Включите многофакторную аутентификацию для почты и, если возможно, используйте приложение-аутентификатор, ключ доступа или аппаратный ключ безопасности вместо SMS. Если приложение всё ещё установлено, проверьте его версию и разработчика в официальном магазине приложений. Удалите приложение, если оно больше не нужно, а затем проверьте разрешения приложений Android и сохранённые профили VPN на наличие оставшегося доступа. Слабый пароль или пароль, используемый и в других аккаунтах, всё равно следует заменить в связанном почтовом аккаунте на надёжный и уникальный. Не переходите по ссылкам в сообщениях, предлагающих поддержку VPN, продление подписки, проверку устройства или возврат средств. Для любых необходимых действий используйте сохранённую страницу приложения в магазине или другой проверенный канал сервиса.

Не выбирайте VPN только потому, что у него много установок или он рекламируется как бесплатный. Проверьте, указывает ли провайдер своё юридическое лицо, доступна ли его служба поддержки, публикует ли он актуальную политику конфиденциальности, проходит ли независимую оценку безопасности и предусмотрен ли у него порядок уведомления пользователей об инцидентах. Одного заявления «мы не ведём журналы» недостаточно: изучите, какие данные сервис собирает для создания аккаунтов, диагностики, рекламы и работы с подписками. Не отключайте уведомления о входах в почтовый аккаунт и периодически проверяйте указанные в нём адрес электронной почты и номер телефона для восстановления доступа. IMSI или серийный номер устройства нельзя сменить так же, как пароль, поэтому знание любого из этих значений никогда не должно считаться доказательством того, что звонящему или отправителю сообщения можно доверять. Если ваш мобильный оператор предлагает дополнительный PIN или защитный код для аккаунта, включите его как ещё один уровень защиты от попыток мошеннического перевыпуска SIM-карты и захвата аккаунта.

Чтобы узнать, есть ли ваши данные в записи об утечке SuperVPN & GeckoVPN, проверьте каждый адрес электронной почты, который вы могли использовать в любом из этих сервисов, с помощью надёжного инструмента поиска по утечкам. Совпадение означает, что адрес присутствует в проверенном наборе данных вместе с метаданными устройств и входов, но не доказывает, что ваш пароль был получен. Проверяйте и старые адреса: если вы сменили адрес после 2021 года, прежний всё ещё может присутствовать в исторической записи. Включите постоянные уведомления об утечках: это поможет быстрее отреагировать, если тот же адрес позднее обнаружится в другом инциденте. Никогда не вводите IMSI или серийный номер устройства в форму проверки утечек и не сообщайте эти идентификаторы тем, кто звонит или пишет вам без предварительной договорённости. Используйте результаты только для принятия решений о безопасности собственных аккаунтов, а не для выводов об использовании VPN другим человеком или проверки чужих адресов без разрешения.