Зловмисник на відомому кіберзлочинному форумі, як повідомляється, намагається продати базу даних, що містить інформацію про 140 мільйонів облікових записів BlaBlaCar. Якщо це твердження правдиве, це стане одним із наймасштабніших витоків даних користувачів, пов’язаних із європейською платформою спільних поїздок, за останній час. BlaBlaCar не підтвердила факт витоку, і ситуація залишається радше заявою, ніж підтвердженим інцидентом, однак сам масштаб твердження заслуговує на увагу величезної міжнародної бази користувачів платформи.

Що відомо на цей час

Згідно з повідомленнями, які поширюються в мережі, продавець стверджує, що набір даних містить ідентифікатори користувачів, адреси електронної пошти, хеші паролів, повні імена та інформацію про стать приблизно для 140 мільйонів облікових записів. BlaBlaCar працює в десятках країн і давно позиціонує себе як провідна європейська платформа для спільних поїздок, тому витік такого масштабу був би значним уже через саму кількість людей, яких це потенційно може торкнутися.

На цьому етапі ключове слово — «заява». Незалежного підтвердження автентичності повного набору даних наразі публічно не оприлюднено, а BlaBlaCar спростувала заяви про компрометацію своїх систем. Це знайомий сценарій у світі звітів про витоки даних: продавець публікує зразок або заяву на форумі, ЗМІ повідомляють про цю заяву, а постраждала компанія заперечує або проводить розслідування, перш ніж буде зроблено остаточний висновок. Поки BlaBlaCar або незалежний дослідник безпеки не підтвердять легітимність і походження даних, користувачам варто розглядати ці повідомлення як непідтверджені, але такі, що вимагають обережних дій.

Чому хеші паролів та адреси електронної пошти все ще мають значення

Навіть якщо заява про витік виявиться перебільшеною або лише частково правдивою, тип даних, про які йдеться, — це саме те, що шукають зловмисники. Хеші паролів, хоч і не є паролями у відкритому вигляді, часто можна зламати з часом, особливо якщо використовувалися застарілі або слабкі алгоритми хешування. У поєднанні з адресами електронної пошти та повними іменами такі дані зазвичай використовуються для атак типу credential stuffing, коли зловмисники перевіряють викрадені комбінації імен користувачів і паролів на інших вебсайтах, банківських додатках і поштових сервісах.

Інформація про стать та ідентифікатори користувачів можуть видаватися менш конфіденційними самі по собі, але в поєднанні з електронною поштою та іменами вони додають деталей, які роблять фішингові спроби переконливішими. Шахрай, який знає ваше ім’я, електронну пошту та історію облікового запису, може створити набагато більш правдоподібне фальшиве повідомлення, ніж той, хто має лише адресу електронної пошти.

Це не перший випадок, коли масова платформа, що обслуговує мільйони європейців, стикається з подібним витоком. Нещодавній витік даних Odido, який торкнувся 6,2 мільйонів записів, включно з конфіденційними фінансовими ідентифікаторами, слугує нагадуванням про те, що великі бази користувачів є привабливою ціллю незалежно від галузі, а наслідки таких інцидентів часто розгортаються повільно: юридичні позови та регуляторні перевірки з’являються через місяці після перших повідомлень.

Заперечення BlaBlaCar та розрив між заявою та підтвердженням

Відповідь BlaBlaCar наразі полягала в запереченні заяви про витік, а не в її підтвердженні. Такий розрив між твердженням хакера та запереченням компанії є звичним на ранніх стадіях подібних історій, і може знадобитися кілька днів або тижнів, перш ніж криміналістичні розслідування, залучення правоохоронних органів або сторонні дослідники дадуть остаточну відповідь. Читачам слід бути обережними, щоб не сприймати неперевірені повідомлення з форумів як установлений факт, але також варто визнати, що компанії іноді потребують часу, щоб повністю оцінити масштаб вторгнення, перш ніж оприлюднити повну заяву.

Практично важливим для користувачів є те, що ризик витоку існує незалежно від того, чи буде врешті підтверджено повну цифру в 140 мільйонів. Часткові витоки, зібрані дані або старі дампи облікових даних, перепаковані як «нові» зливи, — усе це поширене в цьому середовищі, і будь-який із цих сценаріїв все одно може наразити реальну інформацію користувачів на небезпеку.

Що це означає для вас

Якщо у вас є обліковий запис BlaBlaCar, найрозумнішою реакцією зараз є обережність, а не паніка. Змініть пароль до BlaBlaCar, особливо якщо ви давно його не оновлювали, і переконайтеся, що він унікальний, а не використовується повторно на інших сервісах. Якщо ви використовували той самий пароль на інших платформах, зокрема для електронної пошти або банківських облікових записів, оновіть і їх, оскільки повторне використання облікових даних — один із найпростіших способів для зловмисників перетворити один витік на кілька скомпрометованих облікових записів.

Увімкнення двофакторної автентифікації, де це можливо, додає значущий рівень захисту, навіть якщо ваш пароль потрапить до злитої бази даних. Також варто стежити за незвичними сповіщеннями про вхід або підозрілою активністю в обліковому записі в найближчі тижні, оскільки це може бути ранньою ознакою неправомірного використання облікових даних.

Ключові висновки

Заяви про витік даних BlaBlaCar залишаються непідтвердженими, але заявлений масштаб — 140 мільйонів записів користувачів — робить цю історію вартою пильної уваги. Ставтеся до повідомлень достатньо серйозно, щоб оновити пароль і перевірити безпеку облікового запису, не припускаючи найгірших сценаріїв до отримання підтвердження. Як і у випадку з попередніми масштабними витоками, що торкнулися європейських користувачів, повна картина може з’явитися з часом, тож бути поінформованим і проактивним — найефективніша відповідь, доступна окремим користувачам прямо зараз.