Новоизлязъл пробив на данни в Chess.com изкара в обращение 4,6 милиона имейл адреса, заедно с имена и потребителски имена, след като онлайн беше публикуван файл, съдържащ 7,3 милиона реда с потребителски данни. В изтеклия набор от данни не са включени пароли, но това не означава, че играчите и случайните потребители трябва да го подминат с лека ръка. Ето какво всъщност се случи, защо липсващите пароли имат по-малко значение, отколкото бихте си помислили, и какво да направите, ако имате акаунт в Chess.com.

Какво всъщност беше изложено при пробива на данни в Chess.com

Изтеклият файл, според съобщенията, съдържа 7,3 милиона реда с данни, като 4,6 милиона уникални имейл адреса са свързани с имена, потребителски имена и други данни за акаунти. Този вид пробив попада в категория, която става все по-често срещана: не хакерска атака, откраднала пароли или платежна информация, а широкомащабно излагане на идентифициращи данни, които все още могат да бъдат използвани като оръжие при вторични атаки.

Както е описано в предишен репортаж за този инцидент, изложеният набор от данни разкри и нещо, за което много потребители на Chess.com никога не са знаели, че съществува: скрити рекламни профили, изградени от активността в акаунта им. Този детайл е важен, защото показва, че изтичането не е просто списък с имейли, а прозорец към това колко поведенчески и идентификационни данни платформите тихо събират и съхраняват, често без потребителите да осъзнават обхвата им.

Защо „не са изтекли пароли“ не е същото като „няма риск“

Изкушаващо е да прочетете „не са изложени пароли“ като добра новина и да продължите напред. В известен смисъл това е така: пробивът не дава на нападателите директен ключ към акаунта ви. Но имейл адресите, истинските имена и потребителските имена са точно суровината, с която работят фишинг кампаниите.

С потвърден имейл, свързан с истинско име и известно потребителско име в Chess.com, измамниците могат да създадат убедителни съобщения, които се позовават на действителните данни на акаунта ви — нещо, което генеричните фишинг имейли не могат да направят. Тази конкретика е това, което прави целевия фишинг (понякога наричан spear phishing) далеч по-ефективен от масовия спам. Получателите са по-склонни да кликнат на линк или да въведат данни за вход на фалшива страница за вход, когато съобщението вече знае кой са те и къде играят шах онлайн.

Съществува и риск от поемане на контрол над акаунта, произтичащ от credential stuffing. Ако сте използвали повторно паролата си за Chess.com някъде другаде и тази друга услуга някога е била пробивана, нападателите сега имат още едно парче от пъзела: потвърдения ви имейл адрес. Комбинирането на това със списъци с пароли от несвързани пробиви е често срещана тактика и затова изследователите по сигурност последователно предупреждават срещу повторното използване на пароли, дори когато въпросният пробив не е изложил пароли директно.

Този модел — големи обеми потребителски данни, изложени чрез игрови и социални платформи — не е уникален за Chess.com. Както е описано в по-широко покритие на как милиони записи биват излагани всяка година, много от тези инциденти не включват никакво сложно хакерство. Неправилно конфигурирани бази данни, извлечени данни и грешки на трети страни доставчици представляват голям дял от излаганията, което е част от причината пробиви като този да продължават да се случват на платформи от всякакъв размер.

Какво означава това за вас

Ако имате акаунт в Chess.com, приемете, че имейл адресът, името и потребителското ви име вече са част от набор от данни, който може да бъде използван срещу вас, дори ако паролата ви не е била включена. Практическият риск не е някой да влезе в акаунта ви утре, а последващите измами: фишинг имейли, маскирани като известия от Chess.com, фалшиви заявки за нулиране на парола или съобщения, предназначени да ви подмамят да разкриете информация в други услуги.

Добрата новина е, че този тип пробив е управляем, ако предприемете няколко прости стъпки, вместо да го третирате като извънредна ситуация. Изтичането само на имейли е сериозно, но е различна категория риск от пробив, който излага пароли в открит текст или финансови данни.

Практически изводи

  • Сменете паролата си за Chess.com въпреки всичко. Дори без потвърждение, че паролите са били изложени, нулирането ѝ не ви струва нищо и елиминира всяко остатъчно съмнение.
  • Проверете за повторно използване на пароли. Ако сте използвали паролата си за Chess.com на други сайтове, сменете и тях, и започнете да използвате менажер за пароли, за да генерирате уникални пароли занапред.
  • Активирайте двуфакторно удостоверяване в Chess.com и всеки друг акаунт, където е налично. Това е единствената най-ефективна стъпка срещу неоторизирани влизания, дори ако данните за вход изтекат другаде.
  • Бъдете скептични към непоискани имейли, позоваващи се на акаунта ви в Chess.com, особено такива, които ви карат да кликнете на линк или да потвърдите паролата си. Отидете директно на сайта, вместо да кликате през имейли.
  • Наблюдавайте имейл адреса си чрез услуга за уведомяване за пробиви, за да знаете дали се появява в бъдещи инциденти, свързани с други платформи.

Пробиви като този са напомняне, че излагането на данни не е нужно да включва пароли, за да има реални последствия. Отнасяйте се към изтеклия имейл и потребителско име като към публична информация на този етап и коригирайте навиците си съответно, вместо да чакате по-сериозен пробив да наложи това.