V-Tight Gel Предполагаемое раскрытие данных

Подтверждённые поля данных включают адреса электронной почты, IP-адреса, имена, номера телефонов и физические адреса. Адрес электронной почты, основной способ связаться с пользователем; в сочетании с номером телефона он позволяет составить более подробный профиль потенциальной жертвы для мошенничества через SMS, звонки и процедуры восстановления доступа к аккаунту. Имя и физический адрес вместе позволяют злоумышленникам подготовить персонализированные сообщения о доставке, счетах, товарах для здоровья, подписках или возвратах. IP-адрес может дать дополнительные сведения о приблизительном регионе и условиях подключения к интернету.

Такое сочетание данных может иметь серьёзные последствия даже без сведений о банковских картах, поскольку адреса, имена и номера телефонов нелегко изменить. В особенности набор данных, связанный с деликатными товарами для ухода за собой или товарами для взрослых, может создавать риски для конфиденциальности и репутации пользователей. Злоумышленники могут сделать свои сообщения убедительнее, указав часть настоящего имени или адреса. Поэтому утечку V-Tight Gel следует оценивать не только с точки зрения безопасности электронной почты, но и с точки зрения безопасности телефона и адресных данных.

Датой инцидента указано 13 февраля 2016 года. По имеющимся сведениям, число затронутых аккаунтов составляет 2 013 164, а подтверждённая дата включения в каталог: 17 ноября 2017 года. Дата изменения записи приходится на тот же день: 17 ноября 2017 года, 07:47:39 UTC. Это различие важно: момент утечки не следует путать с моментом, когда набор данных позднее добавили в списки инцидентов безопасности. Дата, которую пользователь видит для V-Tight Gel, должна отражать фактический период события.

В инциденте V-Tight Gel пароли, данные платёжных карт, номера официальных удостоверений личности, даты рождения, история покупок и содержание личных сообщений не входят в перечень подтверждённых полей данных. Объём утечки следует описывать только в пределах полей электронной почты, IP-адреса, имени, телефона и физического адреса. Инцидент должен оставаться в категории неподтверждённых: хотя в данных есть примеры достоверных персональных сведений, сообщалось, что от владельца сервиса не удалось получить однозначного ответа, а происхождение всего набора данных не подтверждено. При этом классификацию как инцидента с чувствительными данными следует сохранить, поскольку связь человека с таким товаром или сервисом может причинить ему вред.

Наибольшему риску подвержены люди, которые используют один и тот же адрес электронной почты для покупок, сервисов, связанных со здоровьем, социальных сетей или рабочих аккаунтов. Если вместе с адресом электронной почты обнаружены номер телефона и адрес, злоумышленники могут отправлять сообщения, которые кажутся пользователю гораздо более личными. Например, сообщения о доставке, возвратах, задолженности, подписках или напоминания о товарах могут выглядеть правдоподобно. Адресные данные требуют внимания не только с точки зрения безопасности в интернете, но и с точки зрения неприкосновенности личного пространства.

Для людей, которых можно связать с деликатными товарами для ухода за собой, также существует риск ущерба репутации и давления. Злоумышленники могут отправлять сообщения по электронной почте или телефону, пытаясь поставить пользователя в неловкое положение. Такие сообщения могут содержать требования оплаты, попытки заставить перейти по ссылке или открыть вложение, а также просьбы предоставить дополнительные персональные сведения. Если использовалась корпоративная почта или рабочий телефон, риск выходит за пределы личной сферы и может стать угрозой для безопасности организации, в том числе через социальную инженерию.

Пользователям, получившим положительный результат проверки по V-Tight Gel, следует прежде всего защитить свои почтовые аккаунты. Для электронной почты необходимо использовать надёжный уникальный пароль, двухфакторную аутентификацию и контроль активных сеансов. Хотя в этом инциденте пароли не указаны среди подтверждённых данных, пренебрегать безопасностью паролей не следует: тот же адрес электронной почты мог фигурировать в других утечках. Прежде чем переходить по ссылкам в текстовых сообщениях, поступающих на телефон, необходимо внимательно проверить отправителя и тему сообщения.

Неожиданные сообщения, содержащие адрес, номер телефона или имя, не следует автоматически считать достоверными. Если сообщение касается доставки, оплаты, возвратов, регистрации или товаров для здоровья, пользователю следует самостоятельно открыть свой аккаунт и проверить ситуацию. Безопаснее ввести адрес сайта вручную в браузере, чем переходить по ссылкам из письма. При получении сообщений с шантажом или угрозами не следует переводить деньги; нужно сохранить снимки экрана и сведения об отправителе, а при необходимости уведомить службу безопасности организации или обратиться в соответствующий канал поддержки.

В долгосрочной перспективе может быть безопаснее не использовать основной адрес электронной почты для покупок деликатных товаров и сервисов, связанных со здоровьем или уходом за собой. Отдельные адреса электронной почты и минимальный объём сведений в профиле затрудняют сопоставление разных утечек с одним человеком. При регистрации не следует указывать номер телефона, если он не обязателен. Адресные данные следует вводить только для операций, которые действительно требуют доставки, а адреса, сохранённые в старых аккаунтах, регулярно удалять.

Пользователям следует регулярно отслеживать предупреждения безопасности, связанные с их адресами электронной почты и номерами телефонов. Когда раскрываются сведения, которые сложно изменить, например адреса и номера телефонов, риск может сохраняться годами. Поэтому однократной смены пароля недостаточно: распознавание фишинга, двухфакторная аутентификация, использование отдельных почтовых адресов, сокращение избыточных сведений в профилях и закрытие старых аккаунтов должны стать постоянными привычками. Наиболее практичная защита, свести к минимуму информацию, передаваемую сервисам деликатного характера.

Неподтверждённые сведения о числе затронутых людей и полях данных, а также неподтверждённые заявления злоумышленников не считаются частью публично описываемого объёма инцидента. Положительный результат означает, что имя, адрес электронной почты, телефон, физический адрес или IP-адрес пользователя могут быть связаны с этим набором данных. Первый шаг (усилить защиту электронной почты и телефона, второй) с осторожностью относиться к поддельным сообщениям с указанием адреса, третий, проверить аккаунты в сервисах деликатного характера, зарегистрированные на тот же адрес электронной почты.

Подтверждённый масштаб этого инцидента составляет в общей сложности 2 013 164 аккаунта, а риски в большей степени связаны с личными контактными данными и конфиденциальностью, чем с финансовыми сведениями. При положительном результате пользователю следует проверить сеансы в почтовом аккаунте, включить двухфакторную аутентификацию, остерегаться мошенничества через SMS и звонки и не предпринимать действий по неожиданным сообщениям с указанием адреса без предварительной проверки. Утечка V-Tight Gel показывает, что сведения, передаваемые через аккаунты в сфере ухода за собой и здорового образа жизни, могут иметь долгосрочные последствия для конфиденциальности.