Швейцарська федерація хокею підтвердила витік даних після того, як особисті записи, пов'язані з понад 100 000 людей, причетних до цього виду спорту, були скомпрометовані та оприлюднені на онлайн-форумі. Витік даних Швейцарської федерації хокею нагадує, що спортивні організації тихо зберігають величезні масиви персональної інформації, і що люди, чиї дані є в цих базах, часто майже не впливають на те, наскільки добре ці дані захищені.

Джерело повідомлення коротке, і кілька деталей не були оприлюднені. Ця стаття дотримується лише підтверджених фактів і зосереджується на тому, що постраждалі люди можуть розумно зробити далі.

Що підтвердила Швейцарська федерація хокею

Згідно з повідомленням, персональні дані, що належать понад 100 000 особам, пов'язаним із швейцарським хокеєм, були скомпрометовані хакерами, а потім оприлюднені на онлайн-форумі. Федерація публічно визнала цей інцидент.

Наявні повідомлення не уточнюють, як зловмисники отримали доступ, коли сталася атака або чи вимагали викуп. Також не повідомляється, чи дані пропонуються на продаж або поширюються безкоштовно. Доки федерація не опублікує більше інформації, ці питання залишаються відкритими, і читачам слід ставитися з обережністю до будь-яких тверджень про атаку, які не можна простежити до офіційної заяви.

Хто постраждав і які дані можуть бути розкриті

Фраза «особи, пов'язані зі швейцарським хокеєм» є широкою. Національна федерація зазвичай має справу з гравцями, тренерами, суддями, посадовими особами клубів, волонтерами, а іноді й з уболівальниками або покупцями квитків. Будь-хто з цих груп може бути серед 100 000 порахованих осіб.

Точні категорії розкритих даних не були деталізовані в статті-джерелі. Загалом спортивні федерації можуть зберігати імена, контактні дані, дати народження та інформацію про ліцензування чи реєстрацію. Оскільки конкретні дані не підтверджені, найбезпечніший підхід — припустити, що базові ідентифікаційні та контактні дані могли потрапити до витоку, і чекати на подальші заяви федерації.

Саме тому цей інцидент важливий не лише для одного виду спорту. Системи реєстрації для ліг і клубів часто збирають багато інформації протягом багатьох років, зокрема від юних спортсменів та їхніх батьків. Одна скомпрометована система може розкрити дані людей, які давно не займаються спортом. Для ширшого контексту про те, як зловмисники атакують спортивні об'єкти та організації, дивіться наш матеріал про атаку програм-вимагачів на крижаний стадіон Thialf.

Як витік даних живить фішинг і credential stuffing

Коли особисті записи потрапляють на форум, вони рідко залишаються в одному місці. Інші злочинці можуть копіювати, перепаковувати та повторно використовувати їх. Для людей у такому витоку виділяються два ризики.

Цільовий фішинг. Якщо зловмисник знає ваше ім'я, вашу електронну адресу та те, що ви пов'язані зі швейцарським хокеєм, він може написати повідомлення, яке виглядатиме переконливо. Воно може видавати себе за ваш клуб, федерацію, службу продажу квитків або «повідомлення про безпеку» щодо самого витоку. Такі повідомлення зазвичай спонукають вас перейти за посиланням, відкрити вкладення або ввести пароль.

Credential stuffing. Якщо витік записів містить електронні адреси, зловмисники можуть спробувати їх із поширеними паролями або з паролями, розкритими в попередніх витоках, на інших сервісах, таких як електронна пошта, банківська справа та соціальні мережі. Це працює лише тоді, коли люди використовують той самий пароль у більш ніж одному місці. Це автоматизовано й дешево, тому це так поширено.

Жодна з цих атак не вимагає, щоб злочинець зламував вас безпосередньо. Вони залежать від того, чи ви реагуєте швидко або повторно використовуєте пароль, і обидва ці фактори ви можете контролювати.

Що це означає для вас

Якщо ви коли-небудь грали, тренували, судили, були волонтером або реєструвалися в швейцарському хокейному клубі чи федерації, вважайте себе потенційно постраждалим, навіть якщо ви не отримали повідомлення. Батькам юних гравців слід зробити те саме від імені своїх дітей.

Практичний ризик — це не драматичне захоплення вашого життя. Це зростання переконливих шахрайських повідомлень і автоматизованих спроб увійти до ваших облікових записів. Кілька кроків зараз усунуть більшість цього ризику.

Кроки, які постраждалим слід зробити зараз

  • Змініть повторно використовувані паролі. Якщо ви використовуєте той самий пароль для свого спортивного облікового запису та будь-чого іншого, спершу змініть інші, починаючи з електронної пошти. Використовуйте унікальний пароль для кожного сервісу, ідеально зберігаючи їх у менеджері паролів.
  • Увімкніть багатофакторну автентифікацію. Додаток-автентифікатор або апаратний ключ для вашої електронної пошти, банківських і соціальних облікових записів означає, що лише викраденого пароля недостатньо.
  • Ставтеся до неочікуваних повідомлень із підозрою. Будьте обережні з електронними листами, текстовими повідомленнями або дзвінками, які згадують витік, ваш клуб або федерацію. Не переходьте за посиланнями в них. Заходьте безпосередньо на офіційний вебсайт або зв'яжіться з організацією, використовуючи дані, яким ви вже довіряєте.
  • Стежте за незвичайною активністю. Перевіряйте сповіщення про вхід і нещодавню активність у ваших основних облікових записах, а також переглядайте банківські виписки на предмет будь-чого незнайомого.
  • Слідкуйте за офіційними оновленнями. Стежте за власними комунікаціями федерації щодо деталей про те, які дані були розкриті та що вона рекомендує.
  • Захистіть облікові записи неповнолітніх. Якщо дитина зареєстрована в клубі, застосуйте ті самі кроки до її електронної пошти та будь-яких пов'язаних облікових записів.

Ключові висновки

Витік даних Швейцарської федерації хокею показує, скільки персональної інформації збирають спортивні організації і як швидко вона може потрапити до чужих рук. Багато деталей ще не підтверджено, тому уникайте спекуляцій і покладайтеся на офіційні оновлення. Тим часом змініть будь-які повторно використовувані паролі, увімкніть багатофакторну автентифікацію та ставтеся до неочікуваних повідомлень із підозрою. Для ширшого огляду загрози, з якою стикається сектор, читайте наш звіт про атаку програм-вимагачів на крижаний стадіон Thialf.