На этой неделе подтверждены два отдельных инцидента безопасности — один в Японии, другой на Тайване. Утечка данных Comic CMoa затронула один из крупнейших японских магазинов электронных книг: сообщается об утрате адресов электронной почты и хешей паролей. Отдельно компания ACCESS подтвердила, что из CROS были похищены 1305 карточных аккаунтов. Эти два случая не связаны между собой, но вместе они иллюстрируют два распространённых типа компрометации: учётные данные для входа и данные платёжных карт.

Доступные на данный момент подробности ограничены, поэтому в этом материале мы придерживаемся того, что уже было сообщено, и объясняем, что это значит на практике.

Что утекло в результате утечек Comic CMoa и ACCESS

Согласно сообщениям, утечка данных Comic CMoa затрагивает популярный японский магазин электронных книг, а среди утраченных данных — адреса электронной почты пользователей и хеши паролей. Хеш пароля — это зашифрованная (преобразованная) версия пароля, а не сам пароль. Компании хранят хеши, чтобы не держать пароли в открытом виде на своих серверах.

Второй инцидент не связан с первым. ACCESS подтвердила, что из CROS были похищены 1305 карточных аккаунтов. В источнике указан масштаб — 1305 карточных аккаунтов, — и в изученных нами материалах weitere подробности отсутствуют. Мы не будем строить догадки о том, какие именно поля были похищены, как злоумышленники получили доступ и кто стоял за каждым из инцидентов.

Стоит подчеркнуть, что речь идёт о двух разных компаниях, двух разных системах и двух разных типах данных. Читателям не следует предполагать, что один инцидент связан с другим.

Почему хешированные пароли всё равно подвергают пользователей риску

Услышав, что были похищены только хеши, можно почувствовать облегчение, но это не повод расслабляться. Хеши — это слой защиты, а не гарантия. Насколько безопасен хешированный пароль, зависит от того, насколько надёжным был исходный пароль и как сервис выполнил хеширование.

Если злоумышленник получает набор хешей, он может попытаться восстановить пароли, угадывая распространённые комбинации, хешируя каждую догадку и сравнивая результаты. Короткие, предсказуемые или часто используемые пароли обычно поддаются первыми. Надёжные уникальные парольные фразы восстановить гораздо сложнее.

Адреса электронной почты тоже важны. Даже без пароля список адресов, привязанных к конкретному сервису, можно использовать для целевого фишинга — например, поддельных сообщений, якобы отправленных от имени магазина электронных книг с просьбой снова войти в аккаунт.

Самая большая практическая опасность — повторное использование паролей. Если вы использовали свой пароль от Comic CMoa на другом сайте, любой, кто взломает этот хеш, может попробовать ту же комбинацию email и пароля на других ресурсах. Это называется credential stuffing, и работает это только тогда, когда люди повторно используют пароли.

Что кража карт в CROS означает для пострадавших клиентов

Данные карт — это другая проблема. В связи с сообщением о краже 1305 карточных аккаунтов из CROS основная угроза для пострадавших клиентов — несанкционированные списания и попытки мошенничества. Эмитенты карт, как правило, имеют процедуры замены скомпрометированных карт и оспаривания мошеннических транзакций, но действовать они могут только в том случае, если вы заметили проблему или вам о ней сообщили.

Если с вами свяжутся представители ACCESS или эмитент вашей карты по поводу этого инцидента, отнеситесь к уведомлению серьёзно, но сначала проверьте его. После утечек часто следуют мошеннические сообщения, имитирующие пострадавшую компанию. Используйте контактные данные, указанные на вашей карте или взятые непосредственно с официального сайта компании, а не ссылки из неожиданного письма или сообщения.

Небольшие тестовые списания — частый признак неправомерного использования карты, поэтому даже незначительные транзакции, которые вы не узнаёте, заслуживают звонка эмитенту.

Шаги по защите аккаунтов после утечки

Паниковать не нужно, но несколько быстрых действий дают большой эффект:

  • Смените повторно используемые пароли. Если ваш пароль от Comic CMoa использовался где-либо ещё, замените его во всех других аккаунтах. Сделайте каждый пароль уникальным.
  • Включите двухфакторную аутентификацию (2FA). Даже если у кого-то есть ваш пароль, второй фактор значительно усложняет вход. Коды в приложениях или аппаратные ключи, как правило, надёжнее SMS.
  • Используйте менеджер паролей. Он может генерировать длинные случайные пароли и запоминать их за вас, что устраняет соблазн повторного использования.
  • Следите за выписками по карте. Регулярно проверяйте свои счета, настройте уведомления о транзакциях, если ваш банк их предлагает, и немедленно сообщайте о любых незнакомых операциях.
  • Остерегайтесь последующих сообщений. Не переходите по ссылкам в неожиданных письмах, касающихся любого из этих инцидентов.

Те же привычки применимы после любой утечки, включая атаки, в которых преступники стремятся напрямую навредить жертве, как в случае с партнёром Akira ransomware, чья атака обернулась против самих злоумышленников. Злоумышленники ошибаются, но не стоит рассчитывать на это для защиты своих данных.

Что это значит для вас

Если у вас есть аккаунт Comic CMoa, исходите из того, что ваш адрес электронной почты может оказаться в руках третьих лиц, а хеш вашего пароля в конечном итоге может быть взломан — особенно если пароль был слабым. Смените его и смените везде, где вы его использовали. Если вы связаны с CROS или карточным аккаунтом ACCESS, внимательно следите за выписками и подтверждайте любые сообщения через официальные каналы.

Если вы не относитесь ни к одной из этих групп, эти инциденты всё равно служат полезным напоминанием. Большая часть ущерба от утечек наступает позже, когда похищенные данные используются против людей, которые не изменили своих привычек.

Ключевые выводы

Утечка данных Comic CMoa и кража карт ACCESS CROS — это отдельные события, но совет один: действуйте заранее. Замените повторно используемые пароли на уникальные, включите 2FA, храните учётные данные в менеджере паролей и регулярно проверяйте активность по картам. Десять минут на приведение дел в порядок сейчас гораздо проще, чем разбираться с захватом аккаунтов или мошенническими списаниями потом.