Утечка данных Crunchyroll: раскрыты IP-адреса и геоданные 6,8 млн пользователей

Утечка данных Crunchyroll напоминает нам о том, что безопасность ваших личных данных определяется надёжностью самого слабого звена в цепочке поставщиков компании. Принадлежащий Sony гигант аниме-стриминга Crunchyroll подтвердил, что хакеры получили доступ к данным службы поддержки примерно 6,8 миллиона пользователей — не путём прямого взлома собственных систем Crunchyroll, а скомпрометировав единственную учётную запись стороннего аутсорсингового провайдера клиентской поддержки.

В число раскрытых данных входят IP-адреса, адреса электронной почты, геолокационная информация, содержимое обращений в службу поддержки, а в ряде случаев — частичные данные платёжных карт. Если вы когда-либо обращались в службу поддержки Crunchyroll, ваши данные могут оказаться среди затронутых.

Как произошла утечка

Атака не потребовала сложного взлома основной инфраструктуры Crunchyroll. Вместо этого злоумышленники нацелились на агента службы поддержки, работающего на стороннего вендора, которого Crunchyroll использует для обработки обращений пользователей. Скомпрометировав эту единственную учётную запись, атакующие получили доступ к обширной базе данных тикетов клиентской поддержки.

Это классический пример атаки через стороннего поставщика. Крупные компании регулярно передают пользовательские данные внешним партнёрам по вполне законным операционным причинам: поддержка, выставление счетов, логистика и маркетинг. Каждый из этих партнёров представляет собой дополнительную точку уязвимости. Когда хоть один из них оказывается взломан, данные утекают к злоумышленнику — вне зависимости от того, насколько защищены собственные системы основной компании.

Crunchyroll далеко не одинока в столкновении с подобными инцидентами. Взломы через третьих лиц и цепочки поставок стали одним из наиболее распространённых векторов масштабной утечки данных именно потому, что основной компании сложнее их контролировать и быстро обнаруживать.

Какие данные были раскрыты и почему это важно

На первый взгляд база данных тикетов поддержки может показаться менее тревожной, чем утечка паролей или полных данных платёжных карт. Однако к совокупности раскрытых здесь данных стоит отнестись серьёзно.

IP-адреса и геолокационные данные особенно чувствительны. Ваш IP-адрес может раскрыть ваше приблизительное географическое местоположение, вашего интернет-провайдера, а в некоторых случаях позволяет связать вашу активность в разных сервисах. Для пользователей из стран с ограничительными правительствами или для тех, кто ценит свою конфиденциальность, привязка IP-адреса к личности и его утечка — это реальная угроза.

Адреса электронной почты — топливо для фишинговых кампаний. Злоумышленники, знающие, что вы пользуетесь Crunchyroll, могут создавать крайне убедительные поддельные письма, имитирующие сообщения от Crunchyroll, с просьбой подтвердить аккаунт, обновить платёжные данные или перейти по ссылке, устанавливающей вредоносное ПО.

Содержимое тикетов поддержки может включать всё, что пользователи вводили при обращении за помощью: реквизиты аккаунта, споры по выставлению счетов или иную личную информацию, которой они делились, рассчитывая на конфиденциальность переписки.

Частичные данные платёжных карт, даже если они неполные, в сочетании с другой раскрытой информацией могут делать попытки мошенничества более убедительными.

Что это означает для вас

Если у вас есть аккаунт Crunchyroll — особенно если вы когда-либо обращались в их службу поддержки — воспринимайте эту утечку как активную угрозу. Вот конкретные шаги, которые стоит предпринять:

  • Внимательно следите за своим почтовым ящиком. Фишинговые письма под видом Crunchyroll — вероятная последующая атака. Не переходите по ссылкам в нежелательных письмах; заходите на сайт Crunchyroll напрямую, вводя адрес самостоятельно.
  • Смените пароль от Crunchyroll — даже если пароли не были прямо подтверждены как часть этой утечки. Это хорошая практика всякий раз, когда ваш аккаунт оказывается связан с инцидентом.
  • Включите двухфакторную аутентификацию (2FA) на своём аккаунте Crunchyroll и на любом аккаунте, использующем тот же адрес электронной почты или пароль.
  • Проверьте способы оплаты, привязанные к вашему аккаунту, и следите за подозрительными списаниями.
  • Вспомните, что вы сообщали в тикетах поддержки. Если вы раскрывали конфиденциальную информацию в прошлых обращениях, знайте, что она теперь может оказаться в чужих руках.

Утечку IP-адресов и геолокационных данных стоит рассмотреть отдельно. Каждый раз, когда вы подключаетесь к стриминговому сервису, интернет-магазину или практически любой онлайн-платформе, ваш IP-адрес фиксируется в журнале. Когда эти журналы оказываются в результате утечки, они раскрывают ваше местонахождение и вашего интернет-провайдера. Использование VPN означает, что в журнале сервиса фиксируется IP-адрес VPN-сервера, а не ваш, — поэтому даже если эти данные впоследствии окажутся в утечке, их нельзя будет отследить до вашего реального местоположения или личности.

Риски от третьих лиц — проблема каждого

Более широкий урок утечки данных Crunchyroll состоит не в том, что Crunchyroll проявила исключительную халатность. Суть в том, что каждый раз, создавая аккаунт в онлайн-сервисе, ваши данные могут попасть к вендорам, партнёрам и субподрядчикам, о которых вы никогда не слышали и с которыми не имеете прямых отношений. Вы соглашаетесь с политикой конфиденциальности одной компании, а ваши данные оседают в системах, на хранение в которых вы никогда не давали согласия.

Вы не можете полностью контролировать, кому компании передают ваши данные, но можете ограничить объём идентифицирующей информации, доступной изначально. Минимизация личных данных при регистрации в сервисах, использование уникальных адресов электронной почты для разных аккаунтов и маскировка вашего IP-адреса — это практические шаги, снижающие вашу уязвимость при подобных утечках.

В hide.me VPN мы убеждены, что конфиденциальность не должна требовать от вас доверия к каждому поставщику в цепочке поставок компании. Когда вы просматриваете сайты и стримите через hide.me, IP-адрес и геолокационные данные, которые фиксируют сервисы, принадлежат нам, а не вам — это одна из частей вашей личности, которая перестаёт находиться в базах данных, невидимых и неподконтрольных вам. Если вы хотите узнать больше о том, как VPN защищает ваши данные на сетевом уровне, узнайте подробнее о том, как работает шифрование VPN и что ваш IP-адрес говорит о вас.

Утечка данных Crunchyroll — полезный повод проверить свои собственные цифровые привычки. Цель не в том, чтобы избегать интернета, а в том, чтобы действовать в нём так, чтобы любая отдельная утечка причиняла вам как можно меньше вреда.