Утечка данных Upstox

В этом инциденте перечислены следующие типы данных: номера банковских счетов, даты рождения, адреса электронной почты, имена членов семьи, пол, данные официальных документов, удостоверяющих личность, уровень дохода, семейное положение, гражданство, профессии, пароли, номера телефонов и физические адреса. Финансовые данные и сведения из официальных документов могут использоваться для мошенничества с инвестиционными счетами, кражи личных данных и целевых атак с применением социальной инженерии. Объединение нескольких полей, относящихся к одному пользователю, может сделать более убедительными попытки злоумышленников использовать поддельные уведомления, восстановление доступа к аккаунту, социальную инженерию или сопоставление данных для установления личности.

Согласно имеющимся сведениям, пароли связаны с хеш-значениями bcrypt. Тем не менее, если тот же пароль использовался в других финансовых сервисах или почтовых аккаунтах, его следует немедленно сменить. При наличии таких полей, как пароль, подсказка к паролю, личное сообщение, удостоверение личности, финансовая информация, местоположение или фотография профиля, риск не ограничивается спамом по электронной почте. Даже в записях без пароля номер телефона, адрес, IP, дата рождения или сведения из профиля в социальной сети могут использоваться для целевых атак.

Утечка затрагивает около 111 000 клиентских аккаунтов, связанных с доменом upstox.com. Инцидент классифицирован как подтвержденная утечка. При описании его масштаба отдельно проверялись число аккаунтов, домен, страна, отрасль и категории данных. Типы данных, не включенные в список, не представлены как имеющиеся у пользователя.

Из-за наличия финансовых данных и сведений для идентификации клиентов категория чувствительности была повышена, а ранее устаревшая дата изменения приведена в соответствие с исходной датой записи. В некоторых инцидентах ответ компании может касаться разных контекстов: стороннего сервиса, аккаунта на форуме, списка рассылки или пользовательского профиля. Такие записи разграничены, а не продублированы; при этом сохранен фактический контекст сервиса, с которым связан инцидент.

Риску подвергаются клиенты Upstox, владельцы инвестиционных счетов и пользователи, чьи данные официальных документов или банковские сведения были раскрыты. Основной риск для этих пользователей заключается в том, что утекшие поля можно сопоставить с информацией, используемой на других платформах. Если один и тот же адрес электронной почты, имя пользователя, номер телефона, IP, адрес или пароль повторяется в разных аккаунтах, злоумышленники могут воспользоваться этими совпадениями.

Связь с брокерскими услугами может использоваться в сообщениях с поддельными инвестиционными рекомендациями, а также под предлогом проверки аккаунта, обновления документов, подтверждения банковского счета или уведомлений об инвестиционном портфеле. Разные контексты (форумы, игры, рецепты, услуги проживания, энергетика, билеты на мероприятия, рассылки, социальные сети и финансы) создают разные риски. Пользователю следует учитывать не только поля данных, но и сервис, с которым они связаны.

Затронутым пользователям следует проверить свои финансовые аккаунты, банковские уведомления, заявки, поданные с использованием документов, удостоверяющих личность, и безопасность электронной почты. Если в перечне есть пароль или подсказка к нему, пользователям следует сменить пароль во всех аккаунтах, где используется такой же или похожий пароль, использовать уникальные пароли и по возможности включить многофакторную аутентификацию. Также следует проверить безопасность почтового аккаунта.

Если запись содержит номер телефона, адрес, местоположение, дату рождения, личное сообщение, профиль в социальной сети или финансовую информацию, пользователям следует проверить способы восстановления доступа к аккаунту, историю сеансов, правила пересылки и подозрительные уведомления. Владельцам корпоративных или общедоступных профилей также следует учитывать риск целевых сообщений и угрозы репутации.

Надежная многофакторная аутентификация, уведомления об операциях, мониторинг использования идентификационных данных и контроль за неправомерным использованием документов обеспечивают долгосрочную защиту финансовых аккаунтов. В долгосрочной перспективе основными мерами защиты служат менеджер паролей, уникальные пароли, многофакторная аутентификация, закрытие старых аккаунтов и сокращение избыточных сведений в профилях. Поскольку неизменяемые персональные данные нельзя заменить, пользователям следует уделять больше внимания безопасному поведению и настройкам защиты аккаунтов.

Для организаций такие события показывают необходимость регулярной проверки доступа к файлам резервных копий, прав доступа аккаунтов на форумах, данных о подписках на рассылки, сроков хранения клиентских данных и процедур уведомления. Для пользователей долгосрочную защиту обеспечивают отказ от повторного использования одних и тех же идентификационных данных в разных сервисах и проверка неожиданных сообщений через второй канал связи.

Если данные пользователя совпадают с данными в этой записи, ему следует немедленно проверить настройки безопасности своих банковских, инвестиционных и почтовых аккаунтов. При обнаружении совпадения сначала следует ознакомиться с перечнем полей данных, а затем определить приоритетные меры. Если присутствует пароль, в первую очередь следует сменить его; если есть финансовые данные, организовать мониторинг аккаунта; если есть личные сообщения или профили в социальных сетях, проверить конфиденциальность; если есть сведения о местоположении, оценить физическую безопасность.

Итоговая оценка: эта запись относится к инциденту с финансовыми данными высокой чувствительности, поскольку в ней одновременно присутствуют поля банковского счета, удостоверения личности, адреса, дохода и пароля. Пользователю следует сопоставить эту запись с историей своих аккаунтов и отдельно проверить сервисы, в которых используются те же адрес электронной почты, телефон, имя пользователя, адрес или пароль. После инцидента подозрительные поисковые запросы, электронные письма, сообщения или уведомления о восстановлении доступа к аккаунту следует считать признаками повышенного риска.