The Candid Board Утечка данных

К подтверждённым полям данных относятся даты рождения, адреса электронной почты, сведения о географическом местоположении, IP-адреса, пароли, имена пользователей и данные об активности на сайте. Одного адреса электронной почты может быть достаточно, чтобы начать фишинговую атаку; в сочетании с именем пользователя он повышает вероятность установления личности того же человека на других форумах, в социальных сетях или игровых аккаунтах. Дата рождения, неизменная персональная информация, которую можно использовать в вопросах для сброса пароля, при проверке личности и в сообщениях, основанных на социальной инженерии. IP-адрес и сведения о географическом местоположении могут дать дополнительные подсказки о примерном регионе, из которого человек выходит в интернет, и его интернет-провайдере.

Хранение паролей в виде хешей MD5 с солью создаёт иной уровень риска, чем утечка паролей в открытом виде; однако для слабых, повторно используемых или основанных на словарных словах паролей вероятность подбора остаётся высокой. MD5 не считается надёжным по современным требованиям безопасности, и злоумышленники могут быстро перебирать варианты с помощью больших списков паролей. Данные об активности на сайте усиливают риски для конфиденциальности: такие поля, как дата регистрации, активность на форуме и действия в аккаунте, помогают восстановить контекст. Это сочетание делает утечку The Candid Board инцидентом с высоким риском для персональных данных.

Подтверждённые сведения о масштабе инцидента ограничиваются 178 201 затронутым аккаунтом. Датой утечки указано 3 сентября 2015 года; дата появления сведений об инциденте в надёжных базах данных об утечках: 22 января 2017 года. Это расхождение показывает, что для наборов данных деликатного характера или данных закрытых сообществ между обнаружением утечки, её проверкой и безопасным уведомлением пользователей может пройти некоторое время. Запись охватывает домен The Candid Board и связанные с ним данные форума; риски, относящиеся к дополнительным неподтверждённым типам данных, на этой странице не рассматриваются.

Сведения о банковских картах, номера официальных удостоверений личности, номера телефонов и содержимое личных сообщений не включены в список, поскольку они не относятся к подтверждённым полям данных этого инцидента. Это разграничение важно: пользователю необходимо сообщать о реальных рисках, не вызывая лишней паники. При этом сочетание таких полей, как электронная почта, имя пользователя, IP-адрес, местоположение, дата рождения и активность на сайте, считается достаточно серьёзным, особенно с учётом деликатной категории сервиса. Правильный подход к утечке The Candid Board, опираться на подтверждённые поля данных и усиливать защиту личности и паролей в аккаунтах, которые могли быть затронуты.

Наибольшему риску подвергаются люди, которые используют адрес электронной почты своего аккаунта The Candid Board и на других сервисах. Если с тем же адресом зарегистрированы аккаунты в социальных сетях, рабочих сервисах, играх, на форумах или в интернет-магазинах, злоумышленники могут пробовать этот адрес на разных страницах входа. Если при этом повторно используется один и тот же пароль или похожий шаблон пароля, риск ещё выше. Если имя пользователя совпадает с настоящим именем, ником или псевдонимом, известным на других платформах, установить связь между аккаунтами становится проще.

Для людей, зарегистрировавшихся с адресами электронной почты компаний или государственных учреждений, риск не ограничивается личной конфиденциальностью: возможны также корпоративный фишинг и репутационные атаки. Целевые сообщения, подкреплённые датой рождения, сведениями о местоположении и IP-адресом, могут выглядеть убедительнее. Из-за связи с контентом для взрослых и вопросами приватности пользователи могут принимать поспешные решения под влиянием стыда, давления или ощущения угрозы. Поэтому рекомендуемые меры безопасности при этой утечке включают как техническую защиту аккаунтов, так и спокойную, основанную на фактах реакцию на попытки вымогательства и социальной инженерии.

Пароль от аккаунта The Candid Board не следует использовать ни на каком другом сервисе. Если такой же или похожий пароль используется где-либо ещё, его нужно немедленно заменить уникальным длинным паролем. Менеджер паролей упрощает создание разных надёжных паролей для каждого аккаунта. В первую очередь следует защитить электронную почту, поскольку именно туда часто приходят ссылки для сброса паролей. Для почтового аккаунта необходимо установить надёжный пароль и включить двухфакторную аутентификацию.

Сообщения, поступающие на адрес электронной почты, затронутый утечкой, следует внимательно проверять на наличие файлов, ссылок и требований об оплате. Даже если сообщения с угрозами выглядят правдоподобно, содержащиеся в них персональные сведения, дата рождения, IP-адрес или заявления об участии в сервисе не являются достаточным основанием для перевода денег или передачи информации. При получении шантажирующих сообщений следует без паники сохранить снимки экрана и сведения из заголовков писем, сменить пароли и завершить активные сеансы на соответствующих сервисах. Следует проверить настройки конфиденциальности на форумах и в аккаунтах социальных сетей, где используется то же имя пользователя.

Эта утечка показывает, насколько важно отделять учётные данные, используемые на сервисах деликатного характера, от остальных. Использование отдельного адреса вместо основной электронной почты для регистрации на сервисах, связанных с риском или частной жизнью, снижает вероятность установления связи между аккаунтами. Для каждого сервиса следует выбирать уникальный пароль и двухфакторную аутентификацию. Неизменные сведения, такие как дата рождения, не следует включать в пароли, имена пользователей или контрольные вопросы. Старые форумные аккаунты и неиспользуемые учётные записи нужно регулярно закрывать или, как минимум, обновлять их пароли и адреса электронной почты.

Пользователям следует регулярно проверять свои цифровые следы. Один и тот же ник на нескольких сервисах облегчает привязку разных аккаунтов к одному человеку. Если IP-адрес и сведения о местоположении могли быть раскрыты, регулярно используемые места доступа, такие как дом, работа или школа, следует считать чувствительной информацией. В долгосрочной перспективе наиболее эффективная защита, разделение цифровых идентичностей, которое не позволяет одной утечке затронуть другие аккаунты: отдельные адреса электронной почты, отдельные пароли, надёжная аутентификация и отказ от лишней информации в профиле.

Пользователям, которые проверяют утечку The Candid Board на LeakData, следует использовать отображаемые поля только для оценки рисков. Если адрес электронной почты найден в этой утечке, первым шагом должен стать отказ от повторного использования пароля, вторым (защита почтового аккаунта, а третьим) проверка других аккаунтов, зарегистрированных с тем же именем пользователя или адресом электронной почты. Из-за деликатной категории сервиса результаты не следует без необходимости передавать третьим лицам, а снимки экрана нужно хранить с осторожностью.

Общий подтверждённый масштаб этого инцидента: 178 201 аккаунт; утекшие данные следует оценивать в совокупности с точки зрения установления личности, доступа к аккаунтам и конфиденциальности. Утечка The Candid Board, конкретный повод сделать ваши текущие пароли более надёжными, сократить повторное использование адресов электронной почты и имён пользователей, а также тщательнее контролировать учётные данные для регистрации на сервисах деликатного характера. Если проверка даёт положительный результат, необходимо без промедления сменить пароль, включить двухфакторную аутентификацию, выйти из аккаунтов и отслеживать подозрительные сообщения.