Web Hosting Talk: утечка данных 2016 года

Пользователи сообществ, подобных Web Hosting Talk, как правило, связаны с хостинг-провайдерами, системным администрированием, разработкой, реселлерскими аккаунтами и инфраструктурными сервисами. Поэтому сопоставление адреса электронной почты и имени пользователя может подсказать злоумышленникам, какую техническую роль выполняет человек или какими услугами он пользуется. Поддельные счета за хостинг, сообщения о продлении домена, предупреждения о безопасности сервера или сообщения по заявкам в поддержку могут выглядеть убедительнее.

IP-адреса могут дать сведения об истории посещений форума пользователем или примерных условиях его подключения. Сами по себе они не позволяют достоверно установить личность, однако в сочетании с именем пользователя, адресом электронной почты и принадлежностью к техническому сообществу становятся ценными для целевых атак. Техническим специалистам следует с осторожностью относиться к поддельным уведомлениям о безопасности и сообщениям о срочных обновлениях, касающимся их собственной инфраструктуры.

Один из основных рисков, связанных с полем пароля, попытки массовой подстановки учётных данных. Даже если пароль от форума кажется старым и несущественным, пароли по тому же шаблону могли использоваться в других технических аккаунтах. Компрометация аккаунтов хостинга и регистрации доменных имён может затронуть сайты, почтовые ящики и данные клиентов. Поэтому уникальные пароли и многофакторная аутентификация должны быть обязательными для технических аккаунтов.

Контекст форума также важен с точки зрения репутации и деловых связей. Имя пользователя может быть связано с компанией, брендом или сотрудником поддержки. Злоумышленники могут использовать эту связь в поддельных сообщениях от клиентов или обращениях в поддержку. Пользователям, зарегистрировавшимся с корпоративным адресом электронной почты, следует убедиться, что их старые пароли от форума не используются в других внутренних системах.

Для организаций инцидент с Web Hosting Talk показывает, что форумы сообществ технических специалистов представляют собой ценные цели для атак. Аккаунт на форуме не даёт прямого доступа к серверу, но предоставляет необходимый контекст для социальной инженерии. Старые таблицы пользователей, хеши паролей и журналы IP-адресов не следует хранить без необходимости, а алгоритмы обработки паролей нужно регулярно обновлять.

Пострадавшим пользователям следует проверить пароли от аккаунтов хостинга, регистрации доменов, DNS, панелей управления серверами, клиентских порталов и систем управления почтой. Ссылки, присланные от имени Web Hosting Talk или в сообщениях о безопасности хостинга, следует тщательно проверять. Если нужно выполнить какое-либо действие, лучше воспользоваться знакомой панелью провайдера. Старые данные форума могут создавать риск для аккаунтов технической инфраструктуры.

Ещё один риск для пользователей технических сообществ связан с тем, что старые адреса электронной почты, использовавшиеся на форуме, могут быть связаны с их профессиональной деятельностью. Если тот же адрес использовался в панелях поддержки клиентов, аккаунтах регистрации доменов или у поставщиков серверных услуг, злоумышленники могут воспользоваться этой связью для рассылки поддельных уведомлений о безопасности. Особенно тщательно следует проверять сообщения о приостановке работы сервера, вредоносном трафике, счетах или продлении доменов.

Запись о Web Hosting Talk также напоминает о риске использования пароля от форума в технической инфраструктуре. Компрометация одного лишь аккаунта на форуме может не дать доступа к серверу, однако риск возрастает, когда сочетаются повторно используемый пароль, тот же адрес электронной почты и технический контекст. Пользователям следует обновить старые пароли от форума в менеджере паролей, а для критически важных панелей управления отдавать предпочтение аппаратному ключу или аутентификации через приложение.

Организациям также следует оценивать подобные старые записи форумов с точки зрения безопасности сотрудников. Аккаунт на форуме, зарегистрированный с корпоративным адресом электронной почты, может позволить злоумышленникам выбрать сотрудника целью атаки с учётом его роли в технической поддержке или обслуживании инфраструктуры. Однако само по себе такое совпадение не следует считать доказательством неправомерного использования; его нужно рассматривать с акцентом на безопасность аккаунтов.

Если эта запись соответствует вашему адресу электронной почты, проверьте свои аккаунты, последовательно учитывая каждый из перечисленных типов данных. Даже если инцидент произошёл давно, сведения об электронной почте, пароле, телефоне, адресе или личности могут быть объединены с другими наборами данных и впоследствии использованы для целевого мошенничества.

В первую очередь следует сменить пароли в аккаунтах, где используется тот же пароль, включить двухэтапную проверку в критически важных аккаунтах, завершить сеансы, которые вы не узнаёте, и пользоваться знакомой страницей входа вместо перехода по ссылкам из поддельных уведомлений. Даже если в записи нет пароля, адреса электронной почты и полей профиля может быть достаточно для фишинга.