Утечка данных URentBike в 2022 году

Основные поля в записи URentBike, имена пользователей, адреса электронной почты, сведения о хешах паролей и даты активности аккаунтов. По адресу электронной почты можно сопоставить пользователя с его аккаунтами в других сервисах и отправлять ему адресные сообщения. Имя пользователя повышает риск объединения сведений из разных профилей, если один и тот же псевдоним используется на нескольких платформах. Сведения о хешах паролей повышают риск захвата аккаунта, особенно при слабых или повторно используемых паролях. Информация об аккаунте, например дата последнего входа и роль, может сделать поддельные предупреждения о безопасности, уведомления о подписке или сообщения с запросами в службу поддержки более убедительными.

В приложениях для городской мобильности пользователи часто быстро реагируют на сообщения об оплате, местоположении, блокировке транспортного средства, подписках и штрафах. Поэтому данные URentBike не следует воспринимать лишь как старый список аккаунтов. Злоумышленники могут использовать адреса электронной почты и имена пользователей для создания поддельных сообщений о задолженности, плате за разблокировку, начислениях за аварии, штрафах за парковку, продлении подписки, проверке аккаунта или сбросе пароля. Сведения о хешах паролей также могут использоваться для проверки того, применяют ли те же пользователи одинаковые или похожие пароли в других сервисах. Пользователям следует выполнять нужные действия через официальное приложение или известный им домен, а не по ссылкам из сообщения.

Если пароль от аккаунта URentBike также использовался для другого аккаунта (электронной почты, банка, социальной сети, транспортного или картографического сервиса либо сервиса подписки,) в первую очередь следует сменить эти пароли. Недостаточно слегка изменить старый пароль: для каждого сервиса нужен уникальный длинный пароль. Аккаунт электронной почты тоже необходимо защитить, поскольку ссылки для сброса паролей обычно приходят по почте. Если доступна многофакторная аутентификация, её следует включить. Также нужно проверить активные сеансы и неожиданные сообщения о сбросе пароля. Если в приложениях для городской мобильности сохранён способ оплаты, следует проверить историю аккаунта и уведомления о платежах.

Для организаций эта запись также показывает риск использования сотрудниками корпоративных адресов электронной почты в личных приложениях для городской мобильности. Если сотрудник использовал тот же корпоративный адрес в приложениях для проката, поездок или выездной работы, адрес электронной почты и сведения о хеше пароля могут использоваться при попытках входа в корпоративные аккаунты. Компаниям не следует считать такие инциденты исключительно проблемой потребительских приложений: необходимо совместно отслеживать наличие адресов сотрудников во внешних сервисах, повторное использование паролей и сообщения с признаками социальной инженерии. Службу поддержки и финансовые подразделения следует отдельно предупредить о поддельных сообщениях о штрафах, расходах, счетах или поездках.

Утечка данных URentBike классифицирована как критическая, поскольку такие данные для доступа, как адрес электронной почты и имя пользователя, присутствуют вместе со сведениями о хешах паролей. При этом запись не была дополнена неподтверждёнными полями: данные платёжных карт в открытом виде, официальные документы, удостоверяющие личность, точная история местоположения и номера телефонов не включены в обновлённый перечень основных категорий данных. Цель этой страницы, не преувеличивать угрозу для пользователя, а объяснить реальные риски на основе подтверждённых полей. Для пользователей, которые ищут информацию об утечке данных URentBike, первоочередные шаги, обновить пароли в аккаунтах, где использовался тот же пароль, включить двухфакторную аутентификацию, осторожно относиться к ссылкам за пределами официального приложения и проверять историю передвижений или уведомления о платежах через независимый канал.

Главная особенность записи URentBike с точки зрения пользователя заключается в том, что старые сведения об аккаунте сервиса городской мобильности объединены с информацией, связанной с безопасностью пароля. Поэтому следует проверять не только уведомления внутри приложения, но и все аккаунты, созданные с тем же адресом электронной почты и похожим паролем. Сообщения о поездках, подписках и платежах нужно проверять через независимый канал, даже если они выглядят как часть обычного взаимодействия с настоящим сервисом.