Утечка данных Tokopedia

В результате этого инцидента вместе с хешами паролей были раскрыты персональные данные: адреса электронной почты, полные имена, пол и даты рождения. Сочетание адреса электронной почты и полного имени делает поддельные сообщения об акциях, заказах, возвратах, доставке или аккаунтах магазинов более убедительными. Сведения о дате рождения и поле помогают злоумышленникам создавать персонализированные сообщения. Хотя пароли защищены хешированием SHA2-384, при повторном использовании одного пароля в разных сервисах злоумышленники могут пробовать взломанные или подобранные пароли на других сайтах. Поэтому риск не следует считать ограниченным только аккаунтом Tokopedia: необходимо также учитывать другие аккаунты в торговых и платёжных сервисах, социальных сетях и почтовых службах, где используется тот же адрес электронной почты.

Датой утечки указано 17 апреля 2020 года, датой первоначального размещения записи (2 мая 2020 года, а датой обновления) 17 июля 2020 года. Основной показатель охвата, используемый LeakData, 71 443 698 уникальных адресов электронной почты. В некоторых сообщениях упоминается первоначальный файл на 15 миллионов строк, а позднее утверждается, что было около 91 миллиона необработанных записей. Эти числа могут отличаться от количества уникальных адресов электронной почты из-за повторяющихся строк, отсутствующих полей или записей без адреса электронной почты. На этой странице пользователю показано количество уникальных адресов электронной почты, показатель, значимый для результатов поиска. Подтверждённые категории ограничиваются датой рождения, адресом электронной почты, полом, именем и хешами паролей; данные платёжных инструментов в эту область поиска не входят.

Риск наиболее высок для людей, которые создали аккаунт Tokopedia до 2020 года, пользовались сервисами для покупок или продаж, указывали тот же адрес электронной почты в других сервисах и повторно использовали свой пароль. Пользователям индонезийских сервисов электронной торговли следует внимательнее относиться к сообщениям о статусе заказа, возвратах, подтверждении оплаты, проверке аккаунта и купонах на скидку. Для владельцев аккаунтов продавца дополнительными источниками риска могут стать сообщения клиентов, панель управления магазином, уведомления об оплате и поддельные обращения от службы поддержки. Если тот же адрес электронной почты используется также для аккаунта в банке, курьерской службе, социальной сети или для рабочего аккаунта, злоумышленники могут объединить эти сведения для попыток доступа к аккаунтам и целевого фишинга.

Пароль аккаунта Tokopedia и любых других аккаунтов с тем же паролем следует немедленно сменить. Для каждого аккаунта лучше выбирать уникальный, длинный и случайный пароль, использовать менеджер паролей и включать многофакторную аутентификацию для важных аккаунтов. Письма о заказах, доставке, скидках, возвратах, блокировке аккаунта или проверке платежа нужно изучать внимательно. Вместо перехода по ссылкам из сообщения следует вручную вводить официальный домен, а одноразовые коды нельзя сообщать кому-либо по телефону или в переписке. Владельцам аккаунтов продавца также следует проверить сеансы в панели управления магазином, авторизованные устройства и настройки платежей. При получении подозрительного уведомления о входе следует завершить сеансы и начать сброс пароля через доверенный канал.

Длительный риск после утечек в сфере электронной торговли связан с использованием данных клиентских профилей вместе со списками паролей и фишинговыми сообщениями. Пользователям следует регулярно проверять старые аккаунты магазинов, закрывать неиспользуемые аккаунты, ограничивать использование своих данных в маркетинговых целях и использовать дополнительную проверку в важных аккаунтах, созданных с тем же адресом электронной почты. Организациям следует свести объём хранимых клиентских данных к минимуму, использовать стойкие и актуальные алгоритмы хеширования паролей, применять соли и дополнительные меры защиты, а также отслеживать необычные выгрузки и массовые запросы с помощью систем раннего предупреждения. Уведомления для пользователей следует составлять понятным языком, указывать в них даты и чётко перечислять категории данных, чтобы пользователи знали, какие аккаунты нужно проверить.

Вы можете проверить, встречается ли ваш адрес электронной почты в утечке данных Tokopedia, выполнив поиск на LeakData. Если найдено совпадение, сначала уделите внимание аккаунту Tokopedia, а затем другим аккаунтам с тем же адресом электронной почты или паролем. Помимо смены пароля, важно включить многофакторную аутентификацию, проверить историю сеансов и отозвать разрешения на доступ, выданные старым устройствам. Поскольку ваше имя и дата рождения были раскрыты, относитесь с большим недоверием к сообщениям, содержащим личные сведения. Если вы неожиданно получили ссылку, связанную с доставкой, возвратом, проверкой аккаунта или акцией, самостоятельно откройте официальный сайт, прежде чем вводить свои данные. Эти шаги снижают вероятность того, что данные из утечки 2020 года будут использованы сегодня для проверки доступа к аккаунтам, поддельных уведомлений о покупках и целевого мошенничества.