Утечка данных WeLeakInfo

В этой утечке наряду с историей платежей и частичными данными кредитных карт оказались сведения, позволяющие связать записи с конкретным человеком: адрес электронной почты, полное имя, физический адрес и IP-адрес. Частичные данные кредитной карты не означают, что раскрыт полный номер карты или все её защитные реквизиты. Однако в сочетании с историей платежей, именем и адресом они повышают риск социальной инженерии и мошенничества. Сведения о пользовательском агенте браузера также могут дать дополнительные подсказки об используемом устройстве, браузере или операционной системе.

Из-за специфики сервиса WeLeakInfo риск не ограничивается обычной кражей личности. Люди, оплачивавшие его услуги и связанные с сервисом поиска по похищенным данным, могут столкнуться с угрозами конфиденциальности и репутации, целенаправленным давлением и попытками вымогательства. Сведения о работодателе или учреждении могут раскрыть связь с местом работы у тех, кто использовал корпоративную электронную почту. Поэтому этот инцидент следует рассматривать не просто как утечку небольшого списка аккаунтов, а как раскрытие чувствительных платёжных и идентификационных данных.

Подтверждённую дату инцидента следует указывать как 8 марта 2021 года, а подтверждённую дату внесения в каталог, как 15 марта 2021 года. Поиск по аккаунтам охватывает 11 788 уникальных записей. Хотя в новостных публикациях упоминаются примерно 24 000 клиентов или более крупные объёмы платёжного архива, охват проверки совпадений на LeakData определяется по уникальным аккаунтам электронной почты. Неподтверждённые сведения о числе затронутых людей, полях данных и заявления злоумышленников не включаются в публично описываемый охват инцидента.

К подтверждённым категориям относятся сведения о пользовательском агенте браузера, адреса электронной почты, сведения о работодателе или учреждении, IP-адреса, полные имена, частичные данные кредитных карт, физические адреса и сведения о покупках. Пароли, хеши паролей, полные номера кредитных карт, коды безопасности карт, номера банковских счетов и номера официальных документов, удостоверяющих личность, не следует включать в перечень подтверждённых полей для поиска по аккаунтам в рамках этого инцидента. Хотя WeLeakInfo предназначался для поиска по данным из других утечек, этот инцидент касается данных собственных платящих клиентов сервиса.

Наибольшему риску подвержены люди, которые оплачивали услуги WeLeakInfo и используют тот же адрес электронной почты для работы, личных аккаунтов или других чувствительных сервисов. Совокупность адреса электронной почты, полного имени, физического адреса и сведений о покупках позволяет сделать вывод о том, с каким сервисом связан человек. Это делает фишинговые сообщения более убедительными и может привести к целевым атакам с учётом его прошлых платежей. Для тех, кто использует почту на корпоративном домене, раскрытие сведений о работодателе создаёт дополнительный репутационный риск.

Сами по себе частичные данные карты не дают полного доступа к финансовым средствам, однако такие детали, как последние цифры номера, дата платежа или сумма покупки, могут использоваться для мошенничества. Злоумышленник может попытаться убедить человека, что он представляет банк, платёжного оператора или сервис, которым тот раньше пользовался. Физические адреса и IP-адреса могут стать инструментом давления в вопросах для подтверждения личности или сообщениях с угрозами. Поэтому тем, у кого найдено совпадение, следует проверить как финансовые операции, так и безопасность электронной почты.

Если у вас найдено совпадение, прежде всего проверьте почтовый аккаунт на подозрительные входы, неожиданные сообщения о сбросе пароля, незнакомые устройства и неизвестные правила пересылки писем. Проверьте операции по платёжной карте. Если обнаружены неожиданные операции или попытки авторизации платежей, свяжитесь с эмитентом карты. Поскольку раскрыты лишь частичные данные карты, не следует считать, что все её реквизиты скомпрометированы. Тем не менее некоторое время стоит внимательно следить за выписками и уведомлениями по карте.

Будьте осторожны с сообщениями, в которых используются название WeLeakInfo, старые платёжные сведения, ваш адрес или история покупок. Отправитель может оказывать давление, ссылаясь на перевыпуск карты, закрытие аккаунта, возврат средств, удаление доказательств или угрозу судебного разбирательства. Не переходите по ссылкам в таких сообщениях, не открывайте вложения и не соглашайтесь на требования об оплате. Если вы использовали рабочую электронную почту, стоит уведомить команду безопасности организации и проверить многофакторную защиту соответствующих аккаунтов.

В долгосрочной перспективе для чувствительных сервисов или сервисов с высоким риском лучше использовать отдельный адрес электронной почты либо средство маскировки адреса вместо основной личной почты. Оставляйте уведомления об операциях по карте включёнными и рассмотрите использование виртуальных карт или карт с установленными лимитами. Продолжайте использовать длинные уникальные пароли для каждого аккаунта и снижайте риск повторного использования паролей с помощью менеджера паролей. Хотя наличие паролей в этой утечке не подтверждено, надёжная аутентификация важна для других сервисов, связанных с тем же адресом электронной почты.

Организациям следует свести к минимуму регистрацию сотрудников на рискованных или чувствительных внешних сервисах с рабочей почтой и проводить обучение о рисках утечек, содержащих сведения о платежах и покупках. Пользователям стоит регулярно пересматривать старые аккаунты, отменять ненужные подписки и предоставлять как можно меньше данных сервисам, которые хранят историю платежей. В инцидентах, затрагивающих физические адреса и корпоративные сведения, одной смены пароля недостаточно: вопросы конфиденциальности, контроля финансовых операций и риски кражи личности следует рассматривать вместе.

Если проверка дала положительный результат, это означает, что введённый адрес электронной почты найден в подтверждённом наборе данных о клиентах, оплачивавших услуги WeLeakInfo. В таком случае адрес электронной почты, полное имя, IP-адрес, физический адрес, сведения о пользовательском агенте браузера, работодателе или учреждении, частичные данные кредитной карты и сведения о покупках следует считать находящимися под угрозой. Отрицательный результат означает, что в этом конкретном наборе данных совпадение не найдено; он не доказывает, что данные человека не были затронуты другими утечками.

Рекомендуемые действия, защитить почтовый аккаунт, следить за операциями по платёжной карте, не отвечать на подозрительные сообщения, уведомить ответственного за безопасность в организации, если использовалась рабочая почта, и начать использовать отдельный адрес электронной почты для чувствительных сервисов. Инцидент WeLeakInfo следует оценивать с точки зрения как финансовых рисков, так и конфиденциальности: он показывает, что платёжные и идентификационные данные самих клиентов сервиса поиска по похищенным данным тоже могли оказаться под угрозой.