Предполагаемая утечка может затронуть каждого жителя Бразилии

Злоумышленник заявил об ответственности за кражу 1,8 терабайта данных из Serasa Experian — бразильского подразделения глобальной компании по оценке кредитных рисков Experian. Предполагаемый массив данных охватывает 223 миллиона человек — цифра, фактически представляющая всё население Бразилии, включая умерших граждан, чьи записи по-прежнему хранятся в финансовых базах данных.

Согласно заявлению, похищенные данные включают полные имена, даты рождения, адреса электронной почты и номера CPF. CPF, или Cadastro de Pessoas Físicas, — это бразильский национальный идентификационный номер налогоплательщика, по своей функции аналогичный номеру социального страхования в США. Он используется для доступа к банковским услугам, подачи налоговых деклараций, подтверждения личности и выполнения бесчисленных повседневных операций. Если утечка подтвердится в заявленном масштабе, она станет одним из крупнейших случаев раскрытия данных в рамках одной страны за всё время наблюдений.

Serasa Experian является одним из ведущих кредитных бюро Бразилии и хранит финансовые и личные записи практически каждого совершеннолетнего жителя страны. На момент публикации компания официально не подтвердила факт утечки.

Какие данные предположительно были похищены и почему это важно

Сочетание типов данных в рамках данной предполагаемой утечки вызывает особую обеспокоенность. Номера CPF, в отличие от паролей, нельзя сбросить или заменить. Однажды скомпрометированный национальный идентификационный номер становится источником постоянного риска. В совокупности с полным именем, датой рождения и адресом электронной почты он даёт злоумышленникам почти исчерпывающий профиль для совершения мошенничества с личными данными, открытия фиктивных кредитных счетов, подачи ложных налоговых деклараций или обхода систем верификации личности.

Бразилия уже сталкивалась со значительными инцидентами в сфере утечки данных. В 2021 году отдельная утечка раскрыла номера CPF и личные данные сотен миллионов бразильцев, вызвав широкую обеспокоенность практиками безопасности компаний, которым доверены важнейшие национальные записи. Повторное масштабное раскрытие тех же базовых идентификационных данных кратно усугубляет этот риск. Люди, которые уже предприняли меры для защиты после предыдущих инцидентов, могут обнаружить, что их усилия сведены на нет, если новый массив данных будет широко распространён.

Данные подобного рода, как правило, продаются на подпольных форумах, используются напрямую для мошенничества или объединяются с другими утечками для формирования всё более подробных профилей отдельных людей. Заявленный объём похищенных записей — 1,8 ТБ — свидетельствует о том, что речь идёт не о небольшой или целенаправленной краже.

Как подобные утечки создают более широкие угрозы конфиденциальности

Распространённое заблуждение состоит в том, что утечка данных наносит ущерб только тем, кто непосредственно становится жертвой мошенничества. На самом деле масштабные утечки, подобные этой, создают волновой эффект, затрагивающий повседневную цифровую жизнь.

Когда личные идентификаторы — например, номера CPF и адреса электронной почты — становятся общедоступными, рекламодатели, брокеры данных и злоумышленники могут сопоставить эту информацию с другим онлайн-поведением. Ваши привычки просмотра, использование приложений, данные о местоположении и история покупок могут быть значительно проще связаны с вашей реальной личностью, если базовый идентификатор оказался скомпрометирован. Это явление иногда называют реидентификацией, и оно разрушает практическую анонимность, которую многие люди ошибочно считают само собой разумеющейся в интернете.

Помимо целенаправленного мошенничества, раскрытые данные питают фишинговые кампании. Располагая именем, электронной почтой и номером CPF жертвы, мошенник может составить убедительные сообщения, якобы исходящие от банка, государственного органа или поставщика услуг. Такие атаки сложнее распознать именно потому, что в них используется реальная, достоверная информация.

Что это означает для вас

Если вы находитесь в Бразилии или имеете отношение к бразильским финансовым или государственным системам, следует исходить из того, что ваш номер CPF и связанные с ним личные данные, возможно, уже находятся в обращении — вне зависимости от данной конкретной утечки. Это не повод для паники, но веское основание критически взглянуть на свои цифровые привычки.

Вот конкретные шаги, которые стоит предпринять:

  • Отслеживайте активность по вашему CPF. Бразильская Receita Federal и ряд финансовых платформ позволяют проверить несанкционированное использование вашего CPF. Сделайте это регулярной привычкой.
  • Включите оповещения на финансовых счетах. Настройте уведомления о транзакциях в режиме реального времени для каждого счёта, привязанного к вашему CPF или банковской личности.
  • С подозрением относитесь к входящим обращениям. Воспринимайте любое электронное письмо, SMS или телефонный звонок с просьбой подтвердить личные данные с повышенной осторожностью — даже если отправитель, по всей видимости, знает вашу информацию.
  • Используйте уникальные надёжные пароли и двухфакторную аутентификацию. Скомпрометированные адреса электронной почты часто применяются в атаках с подстановкой учётных данных против других сервисов.
  • Задумайтесь, насколько ваша активность в интернете и цифровая деятельность связаны с вашей реальной личностью. Инструменты, ограничивающие отслеживание и сокращающие объём данных, доступных третьим сторонам, становятся всё более ценными — а не менее — когда ваши основные идентификаторы оказались раскрыты.

Заявление об утечке данных Serasa Experian напоминает о том, что риск от единственной утечки данных редко ограничивается одним моментом или одним видом мошенничества. Базовые идентификационные данные, однажды попав в открытый доступ, циркулируют годами. Многоуровневые привычки в сфере конфиденциальности — сочетание мониторинга счетов, скептицизма в отношении входящих сообщений и сокращения своего цифрового следа — представляют собой наиболее практичную защиту, доступную в ситуации, когда вернуть утечку данных уже невозможно.