В новом отчете CyberStation сообщается, что в даркнете циркулируют 1,8 млн записей из Бангладеш. Эта находка — полезное напоминание о том, что утечки данных из Бангладеш в даркнете редко являются результатом одного драматического инцидента. Чаще это медленное накопление множества более мелких утечек, которые никогда не исчезают.

Исходная статья короткая, поэтому этот пост придерживается того, что было сообщено, и объясняет, что это означает для обычных людей.

Что CyberStation обнаружила в даркнете

Согласно отчету, государственные услуги составили наибольшую долю раскрытых записей граждан. Технологический сектор и телекоммуникации имели самые высокие показатели раскрытия, то есть эти отрасли наиболее часто встречались в данных, которые изучила CyberStation.

Заголовочная цифра — 1,8 млн записей. Это большое число, но более важная деталь — то, как оно было собрано. CyberStation не изучала одну утекшую базу данных. Она смотрела на данные, циркулирующие по даркнету, и приписывала их ряду источников.

Отчет не подтвердил конкретный источник утечки. Ни одна компания, агентство или инцидент не были названы в качестве происхождения записей.

Почему данные происходят из множества утечек, а не из одной

Вероятное объяснение, согласно отчету, состоит в том, что записи происходят из множества сторонних утечек с течением времени. Иными словами, это не свежая утечка, на которую люди могут указать и отреагировать. Это пул данных, накопившийся из более ранних инцидентов.

Это важно, потому что украденные персональные данные не истекают, когда история об утечке утихает. Как только записи скопированы, их можно перепродавать, объединять с другими наборами данных и использовать повторно годами. Имя и номер телефона из одного инцидента можно соединить с адресом электронной почты из другого, создав более полный профиль, чем дала бы любая отдельная утечка.

Это также объясняет, почему люди не могут полагаться на единственное уведомление об утечке, чтобы узнать, затронуты ли они. Если раскрытие происходит из нескольких несвязанных третьих сторон, может не быть ни одной организации, ответственной за то, чтобы сообщить вам. Вы можете вообще никогда не получить уведомление, даже если ваши данные находятся в обороте.

Эта картина знакома и в других местах. Данные телеком-компаний и идентификационные данные, хранящиеся у государства, подвергались атакам и в других недавних случаях, таких как утечка Odido, затронувшая 6,5 млн клиентов в Нидерландах и утечка ANTS ID на 18 млн записей во Франции. Это отдельные события, и ничто в отчете CyberStation не связывает их с Бангладеш. Они просто показывают, как одни и те же типы организаций хранят данные, которые атакующие считают ценными.

Почему цифра в 1,8 млн может быть заниженной

CyberStation описывает свои цифры как консервативные и говорит, что фактическое раскрытие может быть больше. Для этого есть несколько причин, хотя сам отчет следует считать авторитетным источником в отношении его собственной методологии.

Любой подсчет данных даркнета зависит от того, что исследователи могут найти и к чему получить доступ. Частные форумы, закрытые продажи и наборы данных, торгуемые напрямую между покупателями, измерить сложнее. Записи, пересекающиеся между несколькими утечками, также усложняют подсчет, поскольку один и тот же человек может фигурировать более чем в одном источнике.

Практический вывод: 1,8 млн следует читать как нижнюю границу, а не как верхнюю. Это снимок того, что было видно, а не полный учет всего, что было раскрыто.

Что это значит для вас

Если вы живете в Бангладеш или пользовались бангладешскими государственными, телекоммуникационными или технологическими услугами, исходите из того, что часть вашей информации уже может быть в открытом доступе. Это не повод для паники, но это должно изменить то, как вы защищаете себя.

Основные риски от такого рода раскрытия — фишинг, SMS-мошенничество и попытки захвата аккаунтов. Атакующие, которые знают ваше имя, номер телефона или адрес электронной почты, могут составлять убедительные сообщения, особенно если они выглядят как приходящие от телеком-провайдера или государственного органа.

Поскольку данные старые и разрозненные, наиболее эффективны те меры защиты, которые работают независимо от того, из какой утечки пришли ваши данные.

Как проверить свою подверженность и снизить риск

Начните с проверки того, фигурируют ли ваш адрес электронной почты и номер телефона в известных утечках. Добросовестные инструменты уведомления об утечках позволяют искать по электронной почте, а некоторые охватывают и номера телефонов. Совпадение не означает, что вас взломали сегодня, но оно показывает, каким аккаунтам стоит уделить внимание.

Затем укрепите свои аккаунты:

  • Используйте уникальные пароли для каждого аккаунта, желательно храня их в менеджере паролей, чтобы одна старая утечка не могла открыть другие.
  • Включите многофакторную аутентификацию (MFA), предпочтительно через приложение-аутентификатор, а не через SMS, где это возможно.
  • Относитесь скептически к неожиданным сообщениям, в которых упоминаются ваше имя, номер или данные аккаунта. Свяжитесь с организацией через официальный канал, а не отвечайте.
  • Делитесь меньшим объемом персональных данных с государственными и телекоммуникационными службами. Предоставляйте только то, что требуется, и избегайте необязательных полей, которые пополняют данные, хранящиеся об вас в организации.

Также стоит помнить, что раскрытие не ограничивается одним сектором. Даже кадровые агентства и коммунальные компании сталкивались с атаками, как видно из заявленной утечки в United Personnel, поэтому привычка ограничивать то, что вы передаете, применима широко.

Ключевые выводы

Отчет CyberStation показывает, что утечка данных из Бангладеш в даркнете — это продолжающееся состояние, а не единичное событие с четким началом и концом. С 1,8 млн записей, связанных с множеством прошлых сторонних утечек, и цифрами, которые могут занижать реальный итог, ожидание уведомления не является надежной стратегией.

Проверьте, фигурируют ли ваш адрес электронной почты и номер телефона в известных утечках, перейдите на уникальные пароли с MFA и делитесь меньшим объемом персональных данных с государственными и телекоммуникационными службами. Случаи Odido и ANTS показывают, как идентификационные данные, хранящиеся у телеком-компаний и государственных органов, могут быть раскрыты, поэтому сокращение того, что вы передаете, — один из немногих шагов, полностью находящихся под вашим контролем.