Витік даних Crunchyroll: IP-адреси та дані про місцезнаходження 6,8 млн користувачів опинились у відкритому доступі

Витік даних Crunchyroll нагадує, що безпека ваших персональних даних визначається найслабшою ланкою в ланцюжку постачальників компанії. Належний Sony стримінговий гігант аніме Crunchyroll підтвердив, що хакери отримали доступ до даних служби підтримки клієнтів приблизно 6,8 мільйона користувачів — і зробили це не шляхом прямого злому власних систем Crunchyroll, а скомпрометувавши один обліковий запис у стороннього аутсорсингового провайдера підтримки клієнтів.

Серед розкритих даних — IP-адреси, електронні адреси, інформація про місцезнаходження, вміст запитів до служби підтримки, а в деяких випадках — обмежені дані платіжних карток. Якщо ви будь-коли звертались до служби підтримки Crunchyroll, ваша інформація може бути серед постраждалих.

Як стався витік

Атака не потребувала складного злому основної інфраструктури Crunchyroll. Натомість зловмисники атакували агента служби підтримки, який працював на аутсорсингового постачальника, що обслуговує запити користувачів Crunchyroll. Скомпрометувавши лише один обліковий запис, зловмисники отримали доступ до великого масиву даних із запитів до служби підтримки клієнтів.

Це класична атака через стороннього постачальника. Великі компанії регулярно передають дані клієнтів зовнішнім партнерам з цілком законних операційних причин: підтримка, виставлення рахунків, логістика та маркетинг. Кожен із таких партнерів є додатковою точкою вразливості. Коли будь-хто з них зазнає злому, дані потрапляють до зловмисника незалежно від того, наскільки захищені власні системи основної компанії.

Crunchyroll далеко не єдина компанія, що стикається з подібними інцидентами. Витоки через третіх осіб та ланцюжки постачання стали одним із найпоширеніших векторів масштабного розкриття даних саме тому, що основній компанії значно складніше їх контролювати або швидко виявляти.

Які дані були розкриті та чому це важливо

На перший погляд, база даних запитів до служби підтримки може здаватися менш тривожною, ніж витік паролів чи повних номерів платіжних карток. Проте поєднання розкритих даних заслуговує на серйозну увагу.

IP-адреси та дані про місцезнаходження є особливо чутливою інформацією. Ваша IP-адреса може розкрити ваше приблизне географічне розташування, вашого інтернет-провайдера, а в деяких випадках може бути використана для відстеження вашої активності в різних сервісах. Для користувачів із країн із репресивними урядами або для тих, хто цінує свою приватність, прив'язка IP-адреси до особистості та її розкриття внаслідок витоку є серйозною проблемою.

Електронні адреси — це паливо для фішингових кампаній. Зловмисники, які знають, що ви користуєтесь Crunchyroll, можуть створювати переконливі фальшиві листи, що імітують повідомлення від Crunchyroll, з проханням підтвердити обліковий запис, оновити платіжні дані або перейти за посиланням, яке встановлює шкідливе програмне забезпечення.

Вміст запитів до служби підтримки може містити будь-яку інформацію, яку користувачі вводили, звертаючись по допомогу: дані облікового запису, суперечки щодо виставлених рахунків або інший особистий контекст, який вони надавали, вважаючи розмову приватною.

Обмежені дані платіжних карток, навіть якщо вони часткові, можуть поєднуватися з іншою розкритою інформацією, щоб зробити спроби шахрайства більш переконливими.

Що це означає для вас

Якщо у вас є обліковий запис Crunchyroll, особливо якщо ви будь-коли зверталися до їхньої служби підтримки, поставтесь до цього витоку як до активної загрози. Ось конкретні кроки, які варто зробити:

  • Уважно стежте за своєю поштою. Фішингові листи, що імітують повідомлення від Crunchyroll, є ймовірною наступною атакою. Не переходьте за посиланнями в небажаних листах; заходьте на сайт Crunchyroll безпосередньо, вводячи адресу вручну.
  • Змініть пароль Crunchyroll, навіть якщо паролі безпосередньо не підтверджено як частину цього витоку. Це корисна практика щоразу, коли ваш обліковий запис пов'язаний з інцидентом.
  • Увімкніть двофакторну автентифікацію (2FA) для вашого облікового запису Crunchyroll та для будь-якого облікового запису, що використовує ту саму електронну адресу або пароль.
  • Перевірте платіжні методи, прив'язані до вашого облікового запису, та відстежуйте незвичні транзакції.
  • Подумайте, що ви повідомляли в запитах до служби підтримки. Якщо ви розкривали конфіденційну інформацію в попередніх зверненнях, майте на увазі, що вона тепер може опинитись не в тих руках.

Розкриття IP-адрес та даних про місцезнаходження варто розглядати окремо. Кожного разу, коли ви підключаєтесь до стримінгового сервісу, магазину або будь-якої іншої онлайн-платформи, ваша IP-адреса фіксується. Коли ці журнали потрапляють до витоку, вони розкривають, де ви перебували та хто є вашим інтернет-провайдером. Використання VPN означає, що IP-адреса, яку фіксує сервіс, є адресою VPN-сервера, а не вашою — тому навіть якщо ці дані пізніше виявляться у витоку, їх не можна відстежити до вашого реального місцезнаходження або особистості.

Ризик третіх сторін — це проблема кожного

Більш широкий урок з витоку даних Crunchyroll полягає не в тому, що Crunchyroll є унікально недбалою компанією. Урок у тому, що щоразу, коли ви реєструєте обліковий запис в онлайн-сервісі, ваші дані можуть потрапити до постачальників, партнерів і субпідрядників, про яких ви ніколи не чули та з якими не маєте жодних прямих відносин. Ви погоджуєтесь із політикою конфіденційності однієї компанії, а ваші дані зрештою зберігаються в системах, на які ви ніколи не давали згоди.

Ви не можете повністю контролювати, куди компанії передають ваші дані, але ви можете обмежити обсяг ідентифікаційної інформації, що є в обігу. Мінімізація особистих даних, які ви вказуєте при реєстрації в сервісах, використання унікальних електронних адрес для різних облікових записів та маскування вашої IP-адреси — це практичні кроки, що зменшують ваш ризик, коли трапляються подібні витоки.

У hide.me VPN ми вважаємо, що конфіденційність не повинна вимагати від вас довіри до кожного постачальника в ланцюжку постачання компанії. Коли ви переглядаєте контент і стримите через hide.me, IP-адреса та дані про місцезнаходження, які фіксуються сервісами, є нашими, а не вашими — це означає, що ще одна частина вашої ідентичності не плаває в базах даних, які ви не можете бачити або контролювати. Якщо ви хочете дізнатись більше про те, як VPN захищає ваші дані на мережевому рівні, дізнайтесь більше про те, як працює шифрування VPN та що ваша IP-адреса розкриває про вас.

Витік даних Crunchyroll — це корисний привід перевірити власні цифрові звички. Мета не в тому, щоб уникати інтернету; мета в тому, щоб користуватися ним так, щоб обмежити шкоду, яку будь-який окремий витік може завдати вам.