Ультраправа партія Німеччини AfD підтвердила витік даних у свого хостинг-провайдера, внаслідок якого було викрадено великий обсяг даних із партійних поштових скриньок. За повідомленням Help Net Security, під час атаки було викрадено приблизно 345 000 електронних адрес. Ця історія є яскравим прикладом витоку даних електронної пошти у хостинг-провайдера: шкода стала не наслідком злому власних акаунтів партії один за одним, а наслідком компанії, що стоїть під ними.

Наявний наразі вихідний матеріал є коротким, тому багато деталей залишаються непідтвердженими. Цей допис обмежується тим, що було повідомлено, і зосереджується на тому, чого цей інцидент навчає про зберігання електронної пошти та про те, хто може до неї отримати доступ.

Що було скомпрометовано під час злому хостингу AfD

Згідно з повідомленням, витік торкнувся хостинг-провайдера, яким користується AfD, а витік включав великий обсяг даних із партійних поштових скриньок. Наведена цифра — близько 345 000 електронних адрес.

Варто розділяти два моменти:

  • Електронні адреси. Це контактні дані осіб, пов'язаних із поштовими скриньками, які можуть включати членів партії, співробітників та всіх, хто з ними листувався.
  • Дані поштових скриньок. У повідомленні описано великий обсяг даних із самих поштових скриньок. У зведенні не уточнюється, який саме вміст повідомлень або вкладення були включені, тому читачам слід уникати припущень, що виходять за межі підтвердженого.

AfD підтвердила витік, але ми не маємо подальших перевірених деталей про те, як зловмисники отримали доступ, коли це сталося або як дані були використані чи розповсюджені. Ми не будемо будувати здогадок щодо цих моментів.

Як сторонній хостинг стає єдиною точкою відмови

Більшість людей сприймають безпеку електронної пошти як особистий контрольний список: надійний пароль, двофакторна автентифікація, обережні кліки. Ці кроки важливі. Але вони захищають ваш вхід, а не сервер, де зберігаються ваші повідомлення.

Коли організація використовує хостинг-провайдера для своєї електронної пошти, цей провайдер зазвичай керує інфраструктурою, яка зберігає поштові скриньки для багатьох акаунтів. Якщо зловмисники скомпрометують хост, вони можуть отримати доступ до даних масово, навіть не потребуючи вгадувати пароль окремого користувача. Ось чому цей аспект такий важливий: організація може робити багато чого правильно і все одно бути вразливою через постачальника послуг.

Ця закономірність не є унікальною для політичних організацій. Будь-який бізнес, неприбуткова організація чи окрема особа, які покладаються на аутсорсинговий хостинг електронної пошти, поділяють той самий структурний ризик. Деякі практичні наслідки:

  • Концентрація даних. Один скомпрометований провайдер може означати багато поштових скриньок, скомпрометованих одночасно.
  • Обмежена видимість. Клієнти часто не можуть бачити, як хост зберігає, сегментує чи моніторить їхні дані.
  • Прогалини у спільній відповідальності. Клієнт може вважати, що хост забезпечує безпеку, тоді як хост вважає, що клієнт забезпечує гігієну доступу.

Запитувати постачальників про їхні практики безпеки, збереження даних і зобов'язання щодо повідомлення про витік — це розумний крок для будь-якої організації, і його варто робити до інциденту, а не після.

Що означають викрадені електронні адреси для ризику фішингу

Електронна адреса може здатися маловажливою інформацією, але великий список перевірених, активних адрес є корисним для шахраїв. Адреси, пов'язані з конкретною організацією, особливо цінні, оскільки дозволяють зловмисникам створювати повідомлення, які виглядають доречними для одержувача.

Якщо вміст поштових скриньок також було викрадено, ризик зростає. Реальні теми листів, імена та ланцюжки розмов роблять фішингові повідомлення значно переконливішими. Ми не можемо сказати на основі наявних повідомлень, який обсяг вмісту повідомлень було скомпрометовано, але всі потенційно постраждалі мають бути готові до цілеспрямованих, правдоподібних повідомлень, які посилаються на реальні контакти чи теми.

Поширені подальші тактики після витоку контактних даних включають:

  • Фальшиві листи про скидання пароля або підтвердження акаунта
  • Повідомлення, що видають себе за колег, організації чи сервіси
  • Спроби вимагання, які стверджують, що володіють конфіденційною інформацією

Та сама динаміка стосується й інших витоків контактних даних. Наше висвітлення витоку даних Napoleon Perdis, який скомпрометував дані близько 340 000 клієнтів, показує, як список скомпрометованих імен та адрес стає можливістю для фішингу, навіть коли паролі не задіяні.

Що це означає для вас

Вам не потрібно бути членом AfD чи клієнтом цього хоста, щоб цей урок був застосовним. Якщо ви листуєтеся з кимось, чия електронна пошта розміщена на сторонній інфраструктурі, деякі з ваших повідомлень і ваша адреса можуть зберігатися десь, де ви не контролюєте.

Для людей, які можуть постраждати від цього конкретного витоку, пріоритетом є пильність. Ставтеся до неочікуваних повідомлень з підозрою, особливо до тих, що створюють відчуття терміновості або посилаються на минуле листування. Для всіх інших висновок полягає в тому, щоб зменшити те, що один витік може зробити з вами.

Як захистити свою поштову скриньку після витоку у провайдера

Ви не можете виправити безпеку провайдера, але ви можете обмежити наслідки:

  1. Перевірте, чи ваша адреса фігурує у відомих витоках. Скористайтеся надійним сервісом сповіщень про витоки та знайдіть електронні адреси, які ви використовуєте найчастіше.
  2. Використовуйте унікальні паролі. Менеджер паролів робить це практичним, тож витік в одному сервісі не зможе відкрити інший.
  3. Увімкніть двофакторну автентифікацію. За можливості надавайте перевагу застосунку-автентифікатору або апаратному ключу над SMS.
  4. Ставтеся скептично до неочікуваних повідомлень. Не переходьте за посиланнями та не відкривайте вкладення від відправників, яких ви не можете перевірити. Натомість переходьте безпосередньо на вебсайт сервісу.
  5. Обмежте конфіденційний вміст в електронній пошті. Уникайте зберігання паролів, сканів посвідчень особи чи інших конфіденційних документів у старих повідомленнях і видаляйте те, що вам більше не потрібно.
  6. Розгляньте окремі адреси. Використання різних адрес для різних цілей полегшує визначення того, звідки стався витік, і локалізацію шкоди.

Ключові висновки

Інцидент з AfD нагадує, що витік даних електронної пошти у хостинг-провайдера може скомпрометувати пошту незалежно від того, наскільки ретельно захищені окремі акаунти. Перевірте свої адреси в базах даних відомих витоків, використовуйте унікальні паролі та увімкніть двофакторну автентифікацію вже сьогодні. Якщо ваші контактні дані були скомпрометовані, кроки, описані в нашій статті про витік Napoleon Perdis, пропонують корисну паралель для подальших дій. Ми оновимо цю історію, якщо з'являться більше підтверджених деталей.