Утечка данных Young Living Essential Oils

В этом инциденте перечислены следующие типы данных: даты рождения, адреса электронной почты, географическое местоположение и имена. Поля даты рождения и страны могут использоваться для адресных сообщений, связанных с членством или сетевыми продажами. Наличие этих полей вместе может облегчить злоумышленникам подготовку поддельных отчетов об аккаунтах, мошенничество, сопоставление данных о личности или целевые попытки социальной инженерии.

В этой записи поле пароля не указано; риск связан с сочетанием идентификационных и демографических данных. Отсутствие пароля не устраняет риск полностью: адреса, номера телефона, даты рождения, сведений об устройстве, рабочего профиля, программы лояльности, активности в интернете или покупок также может быть достаточно, чтобы сделать пользователя целью атаки. Если пароль присутствует, следует срочно проверить, не использовался ли он повторно в других сервисах.

Утечка охватывает примерно 1,13 миллиона уникальных адресов электронной почты, связанных с доменом youngliving.com. Инцидент относится к категории подтвержденных утечек. Масштаб был определен путем сопоставления домена, контекста деятельности компании, страны, отрасли, количества аккаунтов и категорий данных. Пользователю показываются только поля, перечисленные в рамках этой утечки.

Поскольку ответ компании содержит ограниченную информацию, описание ограничено полями данных и не включает технических подробностей, которые не были окончательно подтверждены. В некоторых случаях подтверждение со стороны компании может быть ограниченным, либо набор данных мог распространяться через сторонние ресурсы. В данном случае описание сосредоточено на полях, отражающих реальный риск для пользователя, без преувеличения того, что остается неопределенным.

В зоне риска находятся участники Young Living, владельцы клиентских аккаунтов или аккаунтов независимых продавцов, а также пользователи, чьи даты рождения были раскрыты. Основной риск для них заключается в сопоставлении утекших полей с теми же сведениями, используемыми на других платформах. Если один и тот же адрес электронной почты, номер телефона, имя пользователя, адрес, профиль в социальной сети или пароль повторяется в разных аккаунтах, поверхность атаки увеличивается.

Контекст оздоровительных услуг и сетевых продаж может использоваться в поддельных сообщениях о членстве, заказах, комиссионных выплатах, акциях или проверке аккаунта. Игры, розничная торговля, платежи, профили в социальных сетях, путешествия, инвестиции, авиаперевозки, здоровье и оздоровление связаны с разными рисками. Пользователю следует учитывать не только перечень доменов, но и то, с каким аккаунтом или сервисом они связаны.

Затронутым пользователям следует проверить безопасность электронной почты и подтверждать сообщения о членстве и заказах через официальный канал. Если в перечне указан пароль или поле с данными, похожими на пароль, пользователям следует изменить его во всех аккаунтах, где используется такой же или похожий пароль, установить уникальный пароль и по возможности включить многофакторную аутентификацию. Аккаунт электронной почты также необходимо защитить.

Если присутствуют такие поля, как адрес, номер телефона, дата рождения, устройство, деловой профиль, покупки или программа лояльности, пользователям следует проверить способы восстановления аккаунта, историю сеансов, правила пересылки и подозрительные сообщения. Запросы на проверку данных и предоставление документов, связанные с финансами, платежами или авиакомпаниями, следует подтверждать через второй канал связи.

Следует сократить ненужное раскрытие даты рождения или страны в аккаунтах, связанных с оздоровительными услугами и сетевыми продажами. В долгосрочной перспективе основу защиты составляют менеджер паролей, уникальный пароль, многофакторная аутентификация, закрытие старых аккаунтов и удаление ненужных полей профиля. Поскольку неизменяемые персональные данные после утечки невозможно отозвать, следует уделить больше внимания безопасному поведению и усилить защиту через настройки аккаунтов.

Организациям следует регулярно проверять, соблюдается ли принцип минимизации данных, каковы сроки хранения старых записей о клиентах, какие права доступа имеют аккаунты на форумах и в сообществах, какие поля собираются в программах лояльности и как устроены процессы уведомления об инцидентах. Пользователи могут снизить риск на постоянной основе, отказавшись от использования одних и тех же идентификационных данных повсюду.

Если данные пользователя совпадают с этой записью, ему следует проверить аккаунты в оздоровительных сервисах, интернет-магазинах и сетевых продажах, где используется тот же адрес электронной почты. При обнаружении совпадения необходимо выяснить, какие поля данных перечислены, и определить очередность действий исходя из этого. Если присутствует пароль, приоритетом становится его смена; если адрес или номер телефона, предупреждение о мошенничестве; если финансовые или платежные данные, мониторинг аккаунта; если профиль в социальной сети, проверка настроек конфиденциальности.

Итоговая оценка: хотя эта запись не содержит пароля, наличие полей даты рождения и местоположения делает этот инцидент утечкой чувствительных персональных данных. Пользователю следует сопоставить запись с историей своих аккаунтов и отдельно проверить сервисы, в которых использовались тот же адрес электронной почты, номер телефона, имя пользователя, адрес или пароль. После инцидента подозрительные звонки, электронные письма, сообщения или уведомления о восстановлении аккаунта следует считать сигналами повышенного риска.