Утечка данных The Heritage Foundation

В этом инциденте перечислены следующие типы данных: адреса электронной почты, IP-адреса, имена, пароли и имена пользователей. Если IP-адрес и имя пользователя связаны с комментарием человека или добавленным им материалом, это может способствовать рассылке адресных сообщений или создавать репутационные риски. Совместное использование этих полей может привести к захвату аккаунта, социальной инженерии, мошенничеству, целенаправленным атакам в физическом мире или нарушениям конфиденциальности.

По имеющимся сведениям, пароли связаны с хеш-значениями MD5 или phpass. Если тот же пароль использовался в других аккаунтах, его следует сменить. Для записей, содержащих пароли, один из наиболее серьёзных рисков, использование такого же или похожего пароля в других сервисах. В записях без паролей сведения об устройстве, местоположении, телефоне, адресе, образовании, заявке на работу или финансовом контексте могут сделать адресные сообщения более убедительными.

Запись охватывает около 72 000 уникальных адресов электронной почты, связанных с доменом heritage.org. Запись об инциденте относится к категории подтверждённых. При оценке масштаба отдельно проверялись число аккаунтов, домен, отрасль, страна и категории данных. Пользователю показаны только те поля данных, которые действительно перечислены в записи.

Отраслевая принадлежность была уточнена: аналитический центр по вопросам политики и медиа, а не розничная торговля. Это различие особенно важно при сходных названиях брендов, в записях, охватывающих несколько сервисов, или в чувствительных отраслях. Запись не объединяли с другим инцидентом и не расширяли так, чтобы возникали дубликаты; сведения о компании уточнены настолько, насколько это было возможно.

В группе риска, пользователи, которые оставляют комментарии и добавляют материалы, а также аккаунты с одним и тем же именем пользователя на разных политических или социальных платформах. Основной риск для этих людей заключается в том, что утёкшие поля могут быть сопоставлены со сведениями, общими для нескольких аккаунтов. Если один и тот же адрес электронной почты, номер телефона, имя пользователя, идентификатор устройства или пароль используется повторно, злоумышленники могут попытаться применить эти сведения в разных сервисах.

Политический контекст может использоваться в сообщениях о фиктивных пожертвованиях, членстве, проверке комментариев, медиааккаунтах или добавлении материалов. В случае корпоративных пользователей акцент делается на рабочей электронной почте и сведениях о работе, а в случае частных пользователей, на адресе, дате рождения, покупках, местоположении или членстве. В таких сферах, как образование, телекоммуникации, финансы, путешествия, политика, подача заявок на работу и VPN, сам контекст также может повышать риск целенаправленных атак.

Затронутым пользователям следует сменить пароли и проверить аккаунты в социальных сетях и медиа, где они используют то же имя пользователя. Если в перечне указан пароль или похожее на пароль поле, пользователям следует сменить пароль во всех аккаунтах, где он повторяется, использовать уникальные пароли и по возможности включить многофакторную аутентификацию. Действий только на одной платформе может быть недостаточно.

Если в записи есть такие поля, как телефон, адрес, дата рождения, идентификатор устройства, данные официального удостоверения личности, заявка на работу или баланс бонусов, пользователям следует проверить сведения для восстановления аккаунта, зарегистрированные сеансы, переадресацию электронной почты и подозрительные сообщения. Организациям следует обновить процедуры противодействия угрозам, связанным с уведомлениями для сотрудников, поддельными счетами и попытками подтверждения аккаунтов.

Использование отдельного адреса электронной почты, уникального пароля и ограниченного объёма личных сведений в профиле снижает риск для аккаунтов, предназначенных для политических или публичных комментариев. В долгосрочной перспективе основу защиты составляют менеджер паролей, уникальные пароли, многофакторная аутентификация, закрытие старых аккаунтов, удаление ненужных полей профиля и минимизация данных. Поскольку вернуть под контроль постоянные персональные данные невозможно, защита опирается на более безопасное поведение при использовании аккаунтов.

Компаниям и организациям следует пересмотреть результаты инвентаризации после инцидента, права доступа, хранение старых данных, процедуры уведомления и использование сторонних платформ. Для пользователей устойчивую защиту обеспечивают отказ от повторного использования одних и тех же идентификационных сведений в разных сервисах и привычка проверять подозрительные обращения через дополнительный канал связи.

Если обнаружено совпадение с этой записью, пользователю следует проверить, не использует ли он то же имя пользователя и пароль в аккаунтах на политических или медиаплатформах. При обнаружении совпадения сначала нужно ознакомиться с перечнем полей данных, а затем определить приоритетные меры в зависимости от этих полей. Если указан пароль, в первую очередь следует сменить его; если есть данные официального удостоверения личности, отслеживать использование идентификационных данных; если есть сведения о местоположении или устройстве, уделить внимание безопасности устройства; если есть сведения об образовании или заявке на работу, проверить аккаунты в соответствующих организациях.

Итоговая оценка: эта запись отнесена к категории чувствительных, поскольку в ней сочетаются политический контекст, IP-адрес и поля с паролями. Пользователю следует сопоставить эту запись с историей использования своих аккаунтов и отдельно проверить сервисы, в которых он использовал тот же адрес электронной почты, номер телефона, имя пользователя или пароль. После инцидента любой неожиданный звонок, сообщение, письмо или уведомление о восстановлении аккаунта следует считать источником повышенного риска.