Утечка данных: как она происходит и что делать пострадавшему

Утечка данных — это раскрытие информации тем, кто не должен её получать. Пугающий образ злоумышленника в капюшоне соответствует реальности лишь частично. Значительная доля инцидентов вызвана ошибками: база данных или хранилище файлов оказались открытыми из интернета без пароля, сотрудник отправил таблицу не тому получателю, резервную копию положили в общий доступ.

Вторая большая группа — целенаправленные атаки: эксплуатация уязвимости, украденные пароли администраторов, фишинг сотрудников, вредоносная программа на сервере. Третья — действия недобросовестных инсайдеров с доступом к данным.

Чаще всего в утечках оказываются адреса почты, номера телефонов, имена, хеши или открытые пароли, адреса доставки, история заказов. Реже — платёжные реквизиты, паспортные сведения, медицинская информация. От состава зависит риск.

Самые частые последствия: рассылки и звонки мошенников, которые используют подлинные детали заказов, попытки входа в другие ваши аккаунты с теми же паролями и целевой фишинг. О последнем способе можно прочитать на странице про credential stuffing и про социальную инженерию. Именно повторное использование пароля превращает утечку в одном сервисе в проблему во многих.

Когда организация обнаруживает инцидент, она обычно проходит стандартную последовательность. Сначала локализация: отключение уязвимого компонента, смена ключей и паролей, изоляция затронутых серверов. Затем расследование: по журналам выясняют, что и когда было выгружено, кто имел доступ, сколько записей затронуто. После этого принимается решение об уведомлении надзорных органов и пользователей и о публичном заявлении.

Для вас важен момент задержки: между реальной утечкой и сообщением о ней иногда проходят недели, а сами данные к этому времени уже могут гулять по закрытым форумам. Поэтому не ждите официального письма, если заметили странную активность: смените пароль, включите второй фактор и проверьте историю входов заранее. Такой подход не требует знания деталей инцидента и работает при любом сценарии.

Сначала выясните, что именно утекло, из сообщения сервиса. Если среди данных был пароль, смените его везде, где он использовался, и включите двухфакторную аутентификацию. Проверьте активные сеансы в аккаунте и завершите незнакомые. Если утекли платёжные реквизиты, свяжитесь с банком и обсудите перевыпуск карты и лимиты.

Следующий шаг — осторожность к входящим сообщениям: письма и звонки, где называют реальные детали ваших заказов, могут быть мошенническими. Не переходите по присланным ссылкам, а заходите на сайт самостоятельно.

Существуют открытые сервисы, где по адресу почты можно узнать, встречался ли он в известных публичных утечках. Пользуйтесь только известными, вводите лишь почту и не отправляйте пароль. Полезно завести менеджер паролей: он часто сам сообщает, что сохранённый пароль засветился.

Если вы используете для регистраций разные адреса, легче понять, откуда утекли данные: спам, пришедший на уникальный адрес, укажет на конкретный сервис.

Если утёк адрес почты, удобно создать отдельную папку-фильтр для писем о «входе», «доставке» и «возврате» и внимательно проверять, действительно ли вы что-то заказывали. Так фишинг по утёкшим данным заметнее.

Уникальный пароль для каждого сервиса и второй фактор превращают утечку из катастрофы в неприятность. Не сообщайте сервисам лишние сведения и удаляйте старые аккаунты. Настройте уведомления о входе в важные аккаунты.

Организации, в свою очередь, обязаны уведомлять надзорные органы и, в определённых случаях, пострадавших; сроки и порядок описаны в законодательстве о персональных данных и в европейском регламенте.

Особое внимание уделите почтовому ящику: он служит ключом для восстановления доступа во многих сервисах. Убедитесь, что для него включён второй фактор, а адрес для восстановления и телефон актуальны. Проверьте правила пересылки в настройках: злоумышленники иногда добавляют скрытую пересылку копий писем на свой адрес, и она продолжает работать даже после смены пароля.