Утечка данных Zoomcar

Подтверждённые категории данных, адреса электронной почты, IP-адреса, сведения об именах, номера телефонов и пароли. Поле пароля следует рассматривать как данные, хранящиеся в виде хеша bcrypt, а не как пароль в открытом виде. Хотя bcrypt, надёжный способ хранения паролей, он не устраняет риск полностью, если пароль слабый или используется повторно. Если тот же пароль используется для электронной почты, транспортных, платёжных или рабочих сервисов либо социальных сетей, злоумышленники могут предпринимать автоматизированные попытки входа в эти аккаунты.

Сочетание имени, номера телефона и адреса электронной почты даёт достаточно контекста для целевого фишинга. Если удаётся установить, что человек пользуется сервисом аренды автомобилей, сообщения о поддельных бронированиях, подтверждениях оплаты, водительских документах, уведомлениях безопасности или обращениях в поддержку могут выглядеть более убедительно. Сам по себе IP-адрес не является однозначным доказательством местоположения, но в сочетании с активностью аккаунта может дать дополнительные сведения. Физический адрес, данные платёжной карты, официального удостоверения личности, изображение водительского удостоверения, документ о регистрации автомобиля и история поездок не входят в число подтверждённых категорий данных для этой записи об инциденте 2018 года.

Для инцидента Zoomcar в LeakData следует сохранять масштаб в 3 589 795 уникальных учётных записей электронной почты. Дату утечки следует учитывать как 1 июля 2018 года, а подтверждённую дату добавления записи, как 5 июня 2020 года. Числа и поля данных, упоминаемые в более широком новостном освещении или в связи с инцидентами Zoomcar других лет, не следует добавлять в эту запись за 2018 год. Это особенно важно: у одного и того же бренда могут происходить отдельные инциденты в разные даты, но каждый из них следует оценивать по его собственной подтверждённой дате и категориям данных.

Подтверждённые поля данных в этой записи, адреса электронной почты, IP-адреса, имена, пароли и номера телефонов. В описании паролей следует указывать, что они хранятся в виде хешей bcrypt, а не в открытом виде. Платёжную информацию, банковский счёт, официальное удостоверение личности, файл водительского удостоверения, регистрационный номер автомобиля, физический адрес и историю местоположения в реальном времени не следует включать в число подтверждённых полей этого инцидента. Чёткое обозначение границ для пользователя уменьшает число ложных тревог и помогает сосредоточиться на необходимых мерах безопасности.

Наибольшему риску подвержены пользователи, которые используют пароль от аккаунта Zoomcar и в других аккаунтах. Когда злоумышленникам доступны и адрес электронной почты, и номер телефона, они могут отправлять поддельные сообщения от поддержки, уведомления о бронированиях, акциях или задолженности как по электронной почте, так и через SMS. Сведения об имени позволяют персонализировать сообщения, а IP-адрес может дать дополнительные подсказки о техническом контексте аккаунта. Поэтому старый аккаунт сервиса аренды автомобилей может повлиять на безопасность действующих аккаунтов электронной почты и мобильных сервисов.

Пользователи, зарегистрировавшиеся в Zoomcar с корпоративным адресом электронной почты, могут быть более уязвимы к попыткам социальной инженерии, связанным с поездками и управлением автопарком. Для тех, кто создал аккаунт с личным адресом электронной почты, более значимы риски повторного использования паролей и поддельных сообщений о доставке или бронировании. Поскольку среди данных есть номер телефона, следует остерегаться мошеннической замены SIM-карты, поддельных звонков от поддержки и попыток выманить коды подтверждения. Если проверка выявила совпадение, не следует считать сам факт того, что старый аккаунт больше не используется, достаточной защитой.

Если ваш адрес электронной почты найден в данных Zoomcar, сначала убедитесь, что старый пароль от аккаунта Zoomcar больше не подходит ни к одному другому аккаунту. Если такой же или похожий пароль использовался для электронной почты, банковских, транспортных, рабочих сервисов, покупок или социальных сетей, задайте для каждого аккаунта отдельный длинный пароль. Менеджер паролей снижает риск повторного использования. Изменить небольшую часть пароля или добавить в конце дату недостаточно: от прежнего шаблона нужно полностью отказаться.

Включите двухфакторную аутентификацию в сервисах, связанных с вашим адресом электронной почты и номером телефона. Если вы получили неожиданное сообщение о бронировании, платеже, плате за повреждения, водительских документах или безопасности аккаунтов, откройте официальное приложение или сайт напрямую, а не переходите по ссылке. Никому не сообщайте коды подтверждения, полученные через SMS. Если вы обнаружили подозрительный сеанс, неожиданный запрос на сброс пароля или уведомление о неизвестном устройстве, завершите сеансы, проверьте данные для восстановления доступа и другие аккаунты транспортных сервисов, созданные с тем же адресом электронной почты.

Утечка Zoomcar показывает, что аккаунты транспортных сервисов и сервисов аренды нуждаются в защите не меньше, чем основные аккаунты, связанные с вашей цифровой идентичностью. Не используйте одинаковые пароли для личных, рабочих, финансовых, транспортных аккаунтов и социальных сетей. Поскольку номера телефонов и адреса электронной почты часто не меняются годами, данные из старых утечек могут вновь стать ценными для новых фишинговых кампаний. Неиспользуемые аккаунты транспортных сервисов следует закрыть либо защитить уникальными паролями и многофакторной аутентификацией, чтобы изолировать их от других аккаунтов.

Главный урок для поставщиков услуг, защищать хеши паролей надёжными методами, регулярно проверять журналы доступа, сокращать объём ненужных персональных данных и без промедления уведомлять об утечках. Поскольку в сервисах каршеринга могут храниться и другие чувствительные данные, например платёжные сведения, документы, удостоверяющие личность, и документы на автомобиль, в отчёте об инциденте следует чётко разграничивать затронутые и незатронутые категории. В случае утечки Zoomcar 2018 года информирование о рисках должно быть сосредоточено на безопасности аккаунтов, мошенничестве с использованием телефона и фишинге.

Проверка записи об утечке Zoomcar показывает, найден ли введённый адрес электронной почты в этом подтверждённом наборе данных. При положительном результате адрес электронной почты, IP-адрес, сведения об имени, номер телефона и хеш пароля bcrypt следует считать подверженными риску. Отрицательный результат означает лишь, что в данном конкретном наборе данных совпадение не найдено; он не доказывает, что пользователь не был затронут другими инцидентами Zoomcar или утечками в других транспортных сервисах. Точные даты помогают избежать путаницы между старыми инцидентами и заявлениями, сделанными в разные годы.

Правильные действия, полностью отказаться от старого пароля, заменить все повторно используемые пароли, включить многофакторную защиту электронной почты и с осторожностью относиться к поддельным сообщениям от поддержки или о бронированиях, поступающим на ваш номер телефона. Также проверьте аккаунты транспортных сервисов, аренды автомобилей, платёжных сервисов и социальных сетей, созданные с теми же адресом электронной почты и номером телефона. Это снижает риск того, что утечка данных 2018 года сегодня приведёт к захвату аккаунта, целевому фишингу или мошенничеству с использованием телефона.