Список рассылки Троя Ханта в Mailchimp

В этом инциденте перечислены следующие типы данных: адреса электронной почты, географическое местоположение, IP-адреса и пары координат широты и долготы. IP-адрес и определённое по нему местоположение в сочетании со сведениями о подписке могут связать примерный район нахождения человека с его интересом к блогам о безопасности. Привязка нескольких полей к одному пользователю может сделать более убедительными попытки злоумышленников использовать поддельные уведомления, восстановление доступа к аккаунту, социальную инженерию или сопоставление сведений о личности.

В этой записи поле с паролем не указано; риск связан с сочетанием данных о подписке, IP-адресе и местоположении. Если присутствуют такие поля, как пароль, подсказка к паролю, личное сообщение, официальное удостоверение личности, финансовая информация, местоположение или фотография профиля, риск не ограничивается спамом по электронной почте. Даже в записях без пароля телефон, адрес, IP-адрес, дата рождения или сведения из профиля в социальной сети могут использоваться для целевых атак.

Утечка охватывает примерно 16.6 тысячи подписчиков рассылки, связанной с доменом troyhunt.com. Инцидент классифицирован как подтверждённая утечка. Охват описан после отдельной проверки количества учётных записей, домена, страны, отрасли и категорий данных. Типы данных, которых нет в перечне, не представлены так, будто они присутствуют у пользователя.

Поле с координатами широты и долготы, отсутствовавшее в предыдущей записи, добавлено в перечень категорий данных. У некоторых инцидентов бывает разный контекст: реакция компании, сторонний сервис, аккаунт на форуме, список рассылки или профиль пользователя. Такие записи разделены, а не продублированы; при этом сохранён фактический контекст сервиса, к которому относится инцидент.

В зоне риска находятся подписчики рассылки, специалисты в области безопасности и пользователи, на которых можно нацелить атаки с помощью сведений об IP-адресе и местоположении. Основной риск для них заключается в том, что утёкшие сведения о местоположении можно сопоставить с информацией, используемой на других платформах. Если один и тот же адрес электронной почты, имя пользователя, номер телефона, IP-адрес, адрес или пароль повторяется в разных учётных записях, злоумышленники могут воспользоваться этими общими признаками.

Тематика блога о безопасности может использоваться в поддельных рассылках, уведомлениях об аккаунте или сообщениях с предупреждениями о безопасности. Разные контексты (форумы, игры, рецепты, размещение, энергетика, билеты на мероприятия, рассылки, социальные сети и финансы) создают разные риски. Пользователю следует учитывать не только сами поля данных, но и сервис, с которым они связаны.

Затронутым пользователям следует проверить безопасность своих почтовых аккаунтов и проверять ссылки, связанные с рассылкой, через официальные каналы. Если в перечне указан пароль или подсказка к нему, пользователям следует сменить пароль во всех учётных записях, где используется такой же или похожий пароль, выбрать уникальный пароль и по возможности включить многофакторную аутентификацию. Безопасность почтового аккаунта также следует проверить.

Если запись содержит телефон, адрес, местоположение, дату рождения, личное сообщение, профиль в социальной сети или финансовую информацию, пользователям следует проверить способы восстановления доступа, историю сеансов, правила пересылки почты и подозрительные уведомления. Людям с корпоративными или общедоступными профилями также следует учитывать риск целевых сообщений и угрозы репутации.

В рассылках и учётных записях подписчиков не следует собирать ненужные сведения о местоположении, а безопасность электронной почты необходимо регулярно проверять. В долгосрочной перспективе основные меры защиты, использование менеджера паролей, уникальных паролей и многофакторной аутентификации, закрытие старых учётных записей и сокращение ненужной информации в профилях. Поскольку неизменяемые персональные данные нельзя заменить, необходимо укреплять защиту за счёт поведения пользователя и настроек аккаунта.

Для организаций такие события показывают необходимость регулярного аудита доступа к файлам резервных копий, прав учётных записей на форумах, данных подписчиков рассылок, сроков хранения клиентских данных и процессов уведомления. Пользователям долгосрочную защиту обеспечивают отказ от повторного использования одних и тех же идентификационных сведений в разных сервисах и проверка неожиданных сообщений через второй канал связи.

Если обнаружено совпадение данных пользователя с этой записью, ему следует проверить сеансы и уведомления о безопасности в почтовом аккаунте. При обнаружении совпадения сначала нужно выяснить, какие поля данных перечислены, а затем определить порядок действий. Если указан пароль, приоритетом должна стать его смена; если финансовые данные, мониторинг счетов; если личные сообщения или профили в социальных сетях, проверка конфиденциальности; если сведения о местоположении, оценка физической безопасности.

Итоговая оценка: хотя эта запись не содержит пароля, она отмечена как содержащая чувствительные данные о подписке, поскольку включает поля с IP-адресом и координатами широты и долготы. Пользователю следует сопоставить эту запись с историей своих учётных записей и отдельно проверить сервисы, где он использовал тот же адрес электронной почты, номер телефона, имя пользователя, адрес или пароль. После инцидента любой подозрительный поиск, электронное письмо, сообщение или уведомление о восстановлении доступа к аккаунту следует рассматривать как повод для повышенной настороженности.