Trik Spam Botnet 2018: утечка данных, связанная с вредоносным ПО

Подтверждённый тип данных, адреса электронной почты. Пароли, данные платёжных карт, номера официальных удостоверений личности, содержимое личных сообщений, физические адреса и номера телефонов не следует считать подтверждёнными полями данных в этом инциденте. При оценке риска необходимо учитывать это ограничение: имеющиеся сведения не дают прямого доступа к содержимому аккаунтов, но могут позволить злоумышленникам отправлять на тот же адрес более убедительные сообщения, проверять, активен ли он, и пытаться злоупотреблять процедурами сброса пароля в разных сервисах.

Попадание адреса электронной почты в такой список ботнета может привести к увеличению объёма спама, получению сообщений с вредоносными вложениями и росту числа ссылок на поддельные страницы входа. Особенно это касается личных и рабочих адресов, которыми пользуются годами. Риск возрастает, если адрес встречается в других утечках вместе с паролями, именами пользователей или данными профиля. Поскольку в данном случае утечка паролей не подтверждена, основное внимание следует уделить защите почтового ящика, многофакторной аутентификации, отказу от повторного использования паролей и бдительности в отношении подозрительных сообщений.

Запись основана на большом списке получателей, который оказался открыто доступен на управляющем сервере ботнета. Хотя исходные подсчёты могут различаться, в качестве стандартизированного подтверждённого масштаба принято 43 432 346 аккаунтов. Инцидент необходимо оценивать в контексте работы ботнета и рассылки вредоносного спама. Поэтому само по себе присутствие имени пользователя в этом списке не означает, что его устройство заражено вредоносным ПО Trik или что его аккаунт на конкретном сайте скомпрометирован. Обоснованный вывод состоит в том, что адрес включён в список адресов электронной почты, который мог использоваться для выбора получателей вредоносных сообщений.

Поле доменного имени оставлено пустым, поскольку этот инцидент, по имеющимся сведениям, не связан с утечкой клиентской базы одного коммерческого сайта. Поле страны компании также оставлено пустым: связь с подтверждённым местонахождением штаб-квартиры компании не установлена. Категория данных ограничена исключительно адресами электронной почты. Это ограничение важно для точного описания риска без излишней паники у пользователя: инцидент не сводится к малозначимой утечке доменных данных, но и приписывать ему неподтверждённую утечку паролей, финансовых сведений или документов, удостоверяющих личность, не следует.

К группе наибольшего риска относятся люди, которые давно пользуются одним и тем же адресом электронной почты, указывают его как рабочий, ведут почтовый ящик службы поддержки клиентов или регистрируются с этим адресом во множестве онлайн-сервисов. Они могут получать больше спама и целевых фишинговых сообщений. Для корпоративных пользователей риск возрастает, когда злоумышленники рассылают вредоносные вложения, используя названия отделов, общие почтовые ящики или адреса сотрудников. Наличие адреса в списке не означает, что злоумышленники получили доступ к корпоративной сети. Однако это обоснованный сигнал для команды безопасности усилить фильтрацию входящих сообщений и повысить осведомлённость пользователей.

Для частных пользователей наиболее вероятны поддельные уведомления о доставке, оповещения об аккаунтах, сообщения от имени банков, уведомления о продлении подписок и приглашения к обмену файлами. Если адрес ранее встречался в других утечках вместе с паролем, злоумышленники могут также прибегнуть к подбору паролей. Поэтому инцидент Trik Spam Botnet не следует рассматривать только как повод очистить почту от спама: стоит проверить и базовые настройки безопасности аккаунтов, использующих тот же адрес.

В первую очередь необходимо убедиться, что для соответствующего почтового аккаунта используется надёжный и уникальный пароль. Если тот же пароль применяется в других сервисах, для каждого аккаунта следует установить отдельный пароль, предпочтительно с помощью менеджера паролей. Поскольку почтовый аккаунт играет ключевую роль в получении ссылок для сброса паролей, следует включить многофакторную аутентификацию. По возможности нужно использовать устойчивые к фишингу варианты, например приложение для аутентификации или ключ безопасности.

Следует с повышенной осторожностью относиться к входящим сообщениям, которые содержат вложения, запрашивают ссылки для входа или подталкивают к срочной оплате. Не открывайте файлы от неизвестных отправителей и не переходите напрямую по ссылкам. Чтобы проверить уведомление об аккаунте, вручную введите адрес соответствующего сервиса в браузере. Корпоративным командам следует пересмотреть правила почтового шлюза, блокировку вредоносных вложений, меры против подмены доменов и порядок оповещения сотрудников для адресов, связанных с этим инцидентом. Особого внимания требуют документы с макросами, архивы и короткие ссылки.

Долгосрочная цель, признать, что адрес электронной почты может неизбежно стать доступным посторонним, и сделать безопасность аккаунтов независимой от конфиденциальности адреса. Для каждого критически важного аккаунта базовым уровнем защиты следует считать уникальный пароль, многофакторную аутентификацию, проверку адреса электронной почты для восстановления доступа и актуальную защиту устройств. Для рабочих аккаунтов необходимо регулярно контролировать проверки DMARC, SPF и DKIM, дополнительные правила сканирования, предупреждающие метки и проверки безопасности соединений.

Однократная смена пароля не устраняет полностью последствия нахождения адреса в спам-списках, используемых длительное время. Пользователю стоит сохранять постоянную настороженность в отношении неожиданных вложений, срочных требований оплаты, поддельных предупреждений безопасности и попыток имитации брендов. Организациям, в свою очередь, следует рассматривать такие списки не только как признак ошибки пользователя, но и как внешний сигнал, который злоумышленники используют при выборе целей. Совместная работа процессов обучения, технической фильтрации и сообщения об инцидентах позволяет лучше контролировать риск.

Если вы увидели соответствующий результат на LeakData, сначала определите, для каких аккаунтов используется этот адрес электронной почты, и выделите наиболее важные сервисы. В первую очередь проверьте почтовый аккаунт, банковские сервисы, социальные сети, облачные хранилища, рабочие системы и управление доменами. Для каждого сервиса следует проверить уникальность пароля, активные сеансы, способы восстановления доступа и состояние многофакторной аутентификации.

Этот инцидент не означает, что ваш пароль точно утёк. Однако он даёт веские основания полагать, что ваш адрес мог использоваться для рассылки вредоносных сообщений. Разумнее всего сохранять спокойствие, усилить защиту почтового ящика, отказаться от повторного использования паролей, избегать подозрительных ссылок и проверить, вместе с какими типами данных этот же адрес встречался в других утечках. Это позволит принять более точное решение о безопасности, опираясь не только на список данного ботнета, но и на общую историю рисков, связанных с адресом.