Якщо ви користувалися MoneySmart, платформою для порівняння фінансових продуктів, зараз ви можете шукати відповідь на питання що робити після витоку даних MoneySmart. Компанія повідомила, що хакери отримали доступ до її внутрішніх систем, що зачепило клієнтів у Сінгапурі та Гонконзі, а номери посвідчень особи (IC) і фінансова інформація могли бути скомпрометовані. Цей посібник пояснює, що було повідомлено, та практичні кроки, які знижують ваш ризик шахрайства й фішингу.

Що MoneySmart каже про те, що сталося

Згідно з публікацією The Straits Times, MoneySmart заявляє, що постраждали клієнти в Сінгапурі та Гонконзі після того, як хакери отримали доступ до внутрішніх систем. У власному повідомленні компанії, цитованому в результатах пошуку, зазначено, що 29 жовтня вона виявила, що несанкціонована третя сторона отримала доступ до деяких її внутрішніх ІТ-систем.

Слово «потенційно» тут має значення. У звітах дані описуються як потенційно скомпрометовані, що означає: не кожна постраждала особа обов'язково втратила кожен тип даних. У фрагментах публікацій перелічуються записи, які можуть містити імена, дати народження, громадянство, ідентифікаційні номери, адреси електронної пошти та номери мобільних телефонів, а також згадуються дані про доставку. Точний перелік для вашого облікового запису може підтвердити лише MoneySmart, тому перший крок — прочитати офіційне повідомлення компанії та будь-яке повідомлення, надіслане вам напряму.

Ми не бачили підтвердження того, як зловмисники отримали доступ або скільки людей постраждало, і не будемо здогадуватися. Якщо ці деталі будуть опубліковані, вони мають надходити від MoneySmart або владних органів.

Чому номери IC та фінансові дані становлять високий ризик

Не всі витіклі дані однакові. Змінений пароль можна виправити за хвилину. Номер IC неможливо змінити жодним практичним способом, і його часто використовують для підтвердження вашої особи в банках, телекомунікаційних компаніях і державних службах. У поєднанні з вашим ім'ям, датою народження, громадянством і номером телефону він дає шахраєві більшу частину того, що потрібно, аби переконливо видавати себе за вас або за компанію, з якою ви маєте справу.

Фінансова інформація додає ще один рівень. Навіть коли повні дані картки чи банківські облікові дані не задіяні, знання того, що хтось подавав заявку на позику, кредитну картку чи страховий продукт через платформу порівняння, дає злочинцям правдоподібний сценарій. Телефонний дзвінок від особи, яка вже знає ваше ім'я, номер мобільного та тип продукту, який ви переглядали, є набагато переконливішим, ніж від випадкового шахрая.

Це справжня небезпека такого витоку. Безпосередній ризик менше пов'язаний із тим, що хтось увійде до MoneySmart, і більше з тим, що станеться в наступні тижні, коли дані використовуватимуть, щоб атакувати вас в інших місцях.

Як захистити свої облікові записи після витоку

Панікувати не потрібно, але кілька кроків варто зробити вже сьогодні:

  • Прочитайте офіційне повідомлення. Перейдіть на власний вебсайт MoneySmart або до листа, який вона вам надіслала, а не за посиланням у неочікуваному повідомленні.
  • Перегляньте виписки з банківських рахунків і карток. Перевірте на наявність транзакцій, яких ви не впізнаєте, і негайно повідомте про них банку. Це порада, орієнтована на поведінку, яку підкреслено в публікаціях про інцидент.
  • Змініть пароль до MoneySmart. Якщо ви використовували цей пароль деінде, змініть його й там, а для кожного сервісу використовуйте унікальний пароль через менеджер паролів.
  • Увімкніть двофакторну автентифікацію для електронної пошти, банківських послуг і будь-яких фінансових застосунків. Ваш обліковий запис електронної пошти — це ключ до скидання всього іншого.
  • Будьте обережні з підтвердженням особи. Оскільки ваш номер IC може бути відомий, ставтеся до будь-якого запиту підтвердити його телефоном, SMS чи електронною поштою як до підозрілого, якщо ви самі не ініціювали контакт через офіційний канал.
  • Зверніться до свого банку напряму, якщо вас це турбує. Використовуйте номер із зворотного боку картки або з офіційного застосунку, а не той, який вам назвав телефонний співрозмовник.

VPN не скасовує наслідків такого витоку, оскільки дані були взяті із систем компанії, а не з вашого з'єднання. Він може захистити ваш трафік у публічних Wi-Fi мережах, але наведені вище кроки тут значно важливіші.

Як розпізнати фішинг, що використовує витіклі дані

Після витоку зловмисники часто звертаються, використовуючи реальні дані, щоб виглядати легітимними. MoneySmart уже попередила, що якщо ви отримаєте запит, який нібито надходить від компанії, вам не слід відповідати, а натомість слід повідомити про це контактній особі з питань безпеки даних, зазначеній у її повідомленні.

Звертайте увагу на ці попереджувальні ознаки:

  • Терміновість. Повідомлення про те, що ваш обліковий запис буде заблоковано, або що ви мусите діяти протягом годин.
  • Запити кодів або облікових даних. Жодна справжня компанія чи банк не попросить ваш одноразовий пароль або повний PIN.
  • Посилання та вкладення, яких ви не очікували. Переходьте на вебсайт, ввівши адресу самостійно або використовуючи збережену закладку.
  • Особисті дані як доказ. Знання вашого імені чи номера телефону не доводить, що відправник справжній. Ця інформація тепер може бути в руках злочинців.
  • Тиск перейти в інший канал. Будьте обережні, якщо співрозмовник просить вас перейти в застосунок для обміну повідомленнями або встановити програмне забезпечення.

Ця схема є поширеною після витоків контактних даних. Наш звіт про витік даних Adidas через стороннього постачальника показує, як викрадена контактна інформація клієнтів може стати сировиною для подальшого фішингу, навіть коли паролі та платіжні дані не викрадені.

Що це означає для вас

Якщо ви користувач MoneySmart у Сінгапурі чи Гонконзі, припускайте, що ваші особисті дані можуть перебувати в обігу, і дійте відповідно. Мета не в тому, щоб запобігти кожній спробі шахрайства, що нереалістично, а в тому, щоб будь-яка спроба зазнала невдачі. Це означає незалежно перевіряти кожен контакт, стежити за своїми рахунками й ніколи не ділитися кодами чи обліковими даними з тим, хто зв'язався з вами першим.

Якщо ви ніколи не користувалися MoneySmart, урок усе одно застосовний. Платформи порівняння та реєстрації збирають багато чутливої інформації, тому діліться лише необхідним і використовуйте унікальні паролі всюди.

Ключові висновки

Коли йдеться про питання що робити після витоку даних MoneySmart, відповідь переважно стосується стабільних, неяскравих звичок:

  1. Перевіряйте офіційні повідомлення MoneySmart і будь-яке пряме повідомлення від компанії.
  2. Стежте за виписками з банківських рахунків і карток та швидко повідомляйте про незнайомі транзакції.
  3. Використовуйте унікальний пароль і двофакторну автентифікацію для ключових облікових записів.
  4. Ставтеся до неочікуваних дзвінків, SMS і електронних листів як до підозрілих, навіть якщо в них наводяться ваші реальні дані.
  5. Повідомляйте про підозрілі повідомлення, що нібито надходять від MoneySmart, використовуючи контакт із її офіційного повідомлення.

Ще один приклад того, як витіклі контактні дані живлять фішинг задовго після початкового інциденту, читайте в нашій статті про витік даних Adidas і будьте пильними в наступні тижні.