Утечка данных Verifications.io

Для инцидента Verifications.io подтверждено раскрытие следующих категорий данных: даты рождения, адреса электронной почты, сведения о работодателях, пол, географическое местоположение, IP-адреса, должности, имена и фамилии, номера телефонов и физические адреса. Сами по себе эти сведения не дают прямого доступа, сопоставимого с доступом по паролю от аккаунта. Однако в совокупности они повышают риск сложных атак с применением социальной инженерии, целевого фишинга, спама, телефонного мошенничества и выдачи себя за представителей компаний. В частности, наличие имени, должности, работодателя, адреса электронной почты и телефона в одном профиле позволяет злоумышленникам составлять более убедительные сообщения.

Для этого набора данных утечка паролей не подтверждена. Это важное различие: первые действия пользователя не должны ограничиваться сменой пароля. Нужно также остерегаться ложных предложений, поддельных обращений от службы поддержки, фиктивных счетов и попыток мошенничества, связанных с работой, при которых могут использоваться личные и профессиональные сведения. Дата рождения и физический адрес могут служить подсказками при ответах на вопросы для подтверждения личности или при обращении в службу поддержки некоторых сервисов. Номер телефона, в свою очередь, может облегчить мошенничество с использованием звонков и SMS.

IP-адреса и сведения о географическом местоположении могут помочь определить примерный регион пользователя или интернет-провайдера, через которого он подключается к сети. Хотя сами по себе такие сведения не считаются точными данными о местоположении, в сочетании с именем и информацией о работе их можно использовать для дополнения профиля. Наличие адресов электронной почты в данных сервиса проверки позволяет предположить, что эти адреса могут считаться активными и пригодными для маркетинговых рассылок. Поэтому после утечки вероятно увеличение объёма спама и целевых писем.

Подтверждено, что раскрытие данных Verifications.io, о котором стало известно 25 февраля 2019 года, затронуло 763 117 241 уникальный аккаунт, что 9 марта 2019 года инцидент был добавлен в реестр подтверждённых утечек данных и что категории данных ограничены перечисленными выше личными и профессиональными сведениями. Инцидент следует рассматривать в контексте проверки электронной почты и маркетинговых данных. Значительная часть информации могла поступить не напрямую от пользователей, осознанно создававших аккаунты Verifications.io, а в ходе проверки и обработки списков, собранных в рамках различных маркетинговых процессов.

Поэтому наличие адреса электронной почты в результатах по Verifications.io не означает однозначно, что пользователь зарегистрирован в этом сервисе или был непосредственным клиентом Verifications.io. Более точная трактовка состоит в том, что соответствующий адрес был включён в маркетинговые наборы данных или данные для проверки и мог оказаться раскрыт вместе с личными сведениями. Это ограничение влияет и на рекомендации пользователю: помимо восстановления аккаунта с акцентом на пароль, следует учитывать риски неправомерного использования личной информации и целевых обращений.

Перечисленные в записи раскрытые сведения не включают пароли, данные платёжных карт или номера официальных удостоверений личности. Тем не менее чрезвычайно большое число записей и объединение полей профиля делают ситуацию критической. Ошибочная оценка может свести инцидент к обычному списку адресов электронной почты, а чрезмерно широкая, породить неподтверждённые утверждения об утечке паролей или финансовых данных. Правильный подход, опираться на подтверждённые категории данных и предлагать пользователю понятные, практические и соразмерные меры безопасности.

Основная группа риска, пользователи, чьи рабочие или личные адреса электронной почты включены в маркетинговые списки. Сервисы проверки электронной почты, такие как Verifications.io, часто обрабатывают списки для кампаний разных компаний, поэтому вполне естественно, что пострадавший человек может не знать этот сервис. Даже если пользователь считает, что никогда не взаимодействовал с соответствующим доменом, его адрес электронной почты мог попасть в сторонние списки. Это особенно важно для людей, включённых в списки маркетинговых кампаний, продаж, мероприятий, рассылок или потенциальных клиентов.

Вторая группа риска, сотрудники, чьи профессиональные сведения раскрыты вместе с личными контактными данными. Имя, фамилия, работодатель, должность, телефон и адрес электронной почты дают злоумышленникам подробный контекст для целевых атак на компанию. Сотрудникам финансовых подразделений, кадровых служб, закупок, поддержки, продаж и руководства следует особенно внимательно относиться к поддельным счетам, фиктивным поставщикам, ложным запросам от руководителей и приглашениям на встречи. Этот инцидент не доказывает, что системы компании были взломаны, но может облегчить целевые атаки на сотрудников.

Третья группа риска, люди, чьи физические адреса, даты рождения или номера телефонов совпадают с данными в утечке. Сами по себе эти сведения не доказывают кражу личности, но позволяют мошенникам легче создавать впечатление, будто они знакомы с человеком. Сообщения, в которых к пользователю обращаются по имени или упоминают его местоположение либо место работы, могут казаться более убедительными. Поэтому пострадавшим следует внимательно оценивать не только входящие письма, но и телефонные звонки, текстовые сообщения и запросы на добавление в контакты в социальных сетях.

Пользователям, чьи данные обнаружены в этой утечке, следует осторожно относиться к неожиданным просьбам во входящих письмах и телефонных звонках. Поскольку утечка паролей не подтверждена, первоочередная задача, распознавать ловушки, связанные с переходом по ссылкам, поддельными платёжными запросами, мнимой службой поддержки, ложными предложениями работы и просьбами дополнить личные сведения. Вместо перехода по ссылкам из писем следует вручную вводить адрес соответствующей организации в браузере, перед открытием вложений проверять отправителя по отдельному каналу связи и внимательно изучать формы, запрашивающие личную информацию.

Второй шаг, проверить настройки безопасности важных аккаунтов. Следует включить многофакторную аутентификацию для электронной почты, банковских сервисов, покупок, социальных сетей и рабочих инструментов. Хотя утечка паролей в инциденте Verifications.io не подтверждена, злоумышленники могут использовать личные сведения, чтобы выглядеть убедительнее при сбросе пароля или общении со службой поддержки. Поэтому необходимо проверить адреса электронной почты и номера телефонов для восстановления доступа, активные сеансы и недавние входы в аккаунты.

Третий шаг, следить за спамом и маркетинговыми рассылками. Рост числа нежелательных сообщений на адреса, затронутые этим инцидентом, не будет неожиданным. Пользователям не следует без разбора переходить по ссылкам для отписки в подозрительных рассылках. Вместо этого стоит использовать функции защиты от спама и блокировки в надёжных почтовых клиентах. Корпоративные пользователи могут проверить, затронуто ли большое число сотрудников с адресами в одном домене, и на этой основе определить приоритетность таких мер, как информирование сотрудников и имитация фишинговых атак.

Четвёртый шаг, фиксировать признаки неправомерного использования личной информации. Следует записывать подозрительные звонки, требования оплаты по поддельным счетам, неожиданные уведомления об аккаунтах и попытки аутентификации, указывая даты. Эти сведения полезны как для отслеживания личной безопасности, так и для реагирования на инциденты внутри организации. Если физический адрес и телефон доступны, пользователям следует внимательнее относиться к неожиданным изменениям в уведомлениях о доставке, подписках, финансовых операциях и государственных услугах.

Утечка Verifications.io показывает, что данные пользователей могут находиться в сервисах, с которыми у них нет прямых отношений. Для долгосрочной защиты полезно разделять адреса электронной почты по назначению, использовать уникальные адреса или адреса-псевдонимы для важных аккаунтов и ограничивать ненужные согласия на использование данных в маркетинговых целях. Если не указывать личный телефон и адрес в каждой форме, профили в возможных будущих наборах данных будут менее полными. Такой подход затрудняет распространение последствий одного инцидента на всю цифровую идентичность человека.

Для организаций постоянная стратегия, регулярно отслеживать наличие адресов электронной почты сотрудников во внешних утечках и оценивать результаты с учётом рисков для бизнеса. Сотрудники маркетинга, продаж и поддержки закономерно могут присутствовать в большем числе внешних списков, что делает их более заметными целями для адресного мошенничества. Компаниям следует расширять охват MFA, использовать подтверждение по второму каналу связи при согласовании финансовых операций и письменно закреплять правила смены поставщиков и обработки запросов на оплату.

Минимизация данных, ещё один важный урок этого инцидента. Компаниям не следует собирать ненужные личные сведения в списках потенциальных клиентов и маркетинговых списках; необходимо ограничивать сроки хранения и регулярно проверять сторонние сервисы обработки данных. Пользователям стоит сочетать регулярные проверки на утечки, спам-фильтры, уведомления безопасности и осмотрительный подход к передаче своих сведений. Даже если масштабные утечки маркетинговых данных невозможно полностью предотвратить, эти меры позволяют уменьшить их последствия.

Если ваш адрес электронной почты обнаружен в утечке данных Verifications.io, не считайте это доказательством того, что вы осознанно зарегистрировались в этом сервисе. Такой результат означает, что ваш адрес электронной почты и некоторые личные или профессиональные сведения могли быть включены в данные для проверки маркетинговых списков. В первую очередь важно понять, какие именно сведения были обнаружены, и быть готовыми к сообщениям, которые могут появиться вследствие их неправомерного использования.

Пользователям личной электронной почты следует остерегаться спама, поддельных обращений от службы поддержки и ложных рекламных сообщений; корпоративным пользователям, отслеживать целевые попытки мошенничества, направленные на адреса в домене компании. Даже если утечка паролей не подтверждена, использование MFA для важных аккаунтов и проверка настроек безопасности остаются полезными мерами защиты. Регулярная проверка записей помогает понять, встречается ли один и тот же адрес электронной почты в разных утечках, и определить, какие меры безопасности следует принять в первую очередь.