Для кого эта статья: для всех, кто пользуется или когда-либо регистрировался в CHAEVI (채비), южнокорейском приложении для зарядки электромобилей; для владельцев электромобилей в любой стране, которые хотят понимать, что может раскрыть утечка из приложения для зарядки; и для разработчиков и операторов небольших платформ, которые обрабатывают пользовательские данные. Статья основана на уведомлениях, которые CHAEVI опубликовала на своём сайте, и не описывает методы атак.
Что пользователям делать сейчас
Проверьте, затронуты ли вы, зайдя на сайт CHAEVI самостоятельно
В уведомлении CHAEVI сказано, что состав утекших данных различается у разных людей и проверить его можно на странице «поиск утечки персональных данных». Не используйте ссылки для проверки, которые пришли по электронной почте или SMS. Введите chaevi.com в браузере самостоятельно или откройте уже установленное приложение CHAEVI. Сообщения с предложением «проверить, утекли ли ваши данные», — распространённый предлог для поддельных ссылок.
Смените пароль, начиная с тех мест, где вы его повторно использовали
В уведомлении CHAEVI от 26 июля пользователям предложили сразу сменить пароль, а в последующем уведомлении от 30 июля рекомендовали: если вы используете тот же или похожий пароль на другом сайте, смените его и там. Адрес электронной почты и пароль (в зашифрованном виде) утекли вместе в 131 411 + 829 записях.
Порядок действий: почтовый аккаунт → банки и платежи → всё остальное, потому что тот, кто контролирует вашу почту, может сбросить пароли других ваших сервисов.
Реальный способ использовать разные пароли везде — это менеджер паролей; чтобы защитить почтовый аккаунт, см. правильный выбор многофакторной аутентификации.
Проверяйте любое письмо, SMS или звонок от CHAEVI через приложение или службу поддержки
CHAEVI заявляет, что никогда не будет запрашивать ваш пароль, финансовую информацию или коды подтверждения по телефону, SMS или электронной почте. Компания рекомендует не открывать ссылки и вложения в SMS или письмах из неизвестных источников и не устанавливать приложения по запросу.
Если звонок или сообщение, якобы от CHAEVI или государственного органа, кажется подозрительным, не перезванивайте на номер, с которого оно пришло, а свяжитесь напрямую с службой поддержки CHAEVI по номеру 1522-2573 (круглосуточно). Основы распознавания фишинга описаны в статье что такое фишинг.
Сообщайте о спаме, смишинге и незапрошенных звонках с рекламой
CHAEVI просит пользователей, которые получают незапрошенные предложения товаров (незаконный телемаркетинг), спам или мошеннические SMS, сообщать о них в 118 (Центр сообщений о нарушении персональных данных Кореи) или в CHAEVI.
Каналы для сообщений и проверки, которые рекомендует правительство Кореи, и что делать, если вы уже перешли по ссылке, описаны в нашей статье что делать пользователям TVING после утечки — она основана на рекомендациях Министерства науки и ИКТ. Те же шаги применимы и здесь.
Если вам нанесён ущерб, сохраняйте доказательства и обращайтесь в справочные службы
В уведомлении CHAEVI сказано, что случаи вторичного ущерба пока не подтверждены. Тем не менее, если выдача себя за другое лицо привела к потере денег или вы подозреваете это, сохраняйте скриншоты писем или SMS вместо того, чтобы удалять их, и сообщите об этом в службу поддержки CHAEVI.
За средствами правовой защиты или консультацией CHAEVI рекомендует обращаться в Комитет по посредничеству при разрешении споров о персональных данных Кореи (1833-6972) и в Центр сообщений о нарушении персональных данных (118).
Поддельные сообщения о «неоплаченной плате за зарядку» и «истекающих баллах» трудно отличить от настоящих
Владельцы электромобилей регулярно получают сообщения об оплате зарядки, картах участника и изменении тарифов при роуминге. Когда «клиент CHAEVI» известен вместе с вашим адресом электронной почты, как это, возможно, и произошло, письма о неоплаченном платеже, истекающих баллах за зарядку, перевыпуске карты участника или требовании компенсации за утечку становится трудно отличить от настоящих.
Этот сайт рекомендует одно правило: для любого сообщения, которое просит вас что-то оплатить или войти в аккаунт, не судите о его подлинности по содержанию — откройте приложение самостоятельно и проверьте, есть ли там такое же уведомление.
Что произошло (по уведомлениям CHAEVI)
Ниже приведено то, что CHAEVI написала в двух уведомлениях на своём сайте: «Уведомление и извинения в связи с утечкой персональных данных» (26 июля 2026 года) и «Дополнительное уведомление об утечке персональных данных» (30 июля).
Примерно январь 2025 года
Расследуя июльский инцидент, CHAEVI обнаружила, что примерно в это время также утекли имя клиента, адрес, контактный номер и номер мобильного телефона (все в зашифрованном виде), время создания данных и порядковый номер данных (уточнение от 30 июля). Обстоятельства, состав данных и масштаб расследуются с привлечением внешней специализированной организации.23 июля 2026 года
Персональные данные утекли в результате незаконной внешней хакерской атаки. CHAEVI заявляет, что заблокировала путь атаки, как только узнала о ней.26 июля
CHAEVI опубликовала на своём сайте сведения об утечке и её масштабе (всего 298 333 записи), сообщив, что уведомила Комиссию по защите персональных данных и Корейское агентство по интернету и безопасности (KISA). Размещены ссылки на страницу проверки утечки и страницу смены пароля.Конец июля
Индивидуальные уведомления затронутым клиентам (в первом уведомлении указана дата 27 июля, в последующем — 26 июля).30 июля
Дополнительное уведомление: CHAEVI сообщает, что уведомила Комиссию по защите персональных данных, KISA, Комиссию по финансовым услугам, Службу финансового надзора и следственные органы, и раскрывает утечку за январь 2025 года.
Нет в списке утекших данных в уведомлении: история зарядки · местоположения станций · информация об автомобиле · платёжные данные
- Всего
- 298 333 записи. Состав утекших данных различается у разных людей
- В каждой записи
- Адрес электронной почты (не помечен как зашифрованный)
- В некоторых записях
- Пароль (в зашифрованном виде), имя (в зашифрованном виде), контактный номер (в зашифрованном виде), пол, дата рождения, порядковый номер участника, дата регистрации
- Объяснение CHAEVI
- Информация, помеченная как «зашифрованная», хранится и обрабатывается с помощью одностороннего шифрования, которое нельзя расшифровать, поэтому её содержимое нельзя прочитать извне, даже если данные утекли
- Не утекли
- Номера регистрации резидентов, номера паспортов и платёжные данные, такие как номера карт и счетов. CHAEVI заявляет, что не собирает и не хранит их и подтвердила в ходе неоднократных проверок, что они не утекли
- Отдельно (примерно январь 2025 года)
- Имя клиента (в зашифрованном виде), адрес (в зашифрованном виде), контактный номер (в зашифрованном виде), номер мобильного телефона (в зашифрованном виде), время создания данных, порядковый номер данных. Обстоятельства, состав данных и масштаб расследуются
- Ответ CHAEVI
- Заблокирован путь проникновения, уязвимость устранена; проверено разделение сетей и межсетевые экраны; расширено шифрование; ужесточён контроль доступа; круглосуточный мониторинг; причины расследуются, меры профилактики готовятся с привлечением внешней специализированной организации
Приложения для зарядки могут записывать, когда и где был ваш автомобиль: утекло ли это на этот раз?
Приложение для зарядки электромобилей может хранить данные иного рода, чем обычное приложение для покупок. Какая станция, в какое время и сколько энергии вы заряжали, в сумме складывается в карту ваших ежедневных перемещений. Запись о зарядке каждую ночь на медленной зарядке рядом с домом фактически указывает на ваш домашний адрес и время возвращения. Поэтому первый вопрос при любой утечке с платформы зарядки такой: «входила ли история зарядки?»
В списке утекших данных в уведомлениях
- Адрес электронной почты (во всех 298 333 записях)
- Пароль (в зашифрованном виде, 132 240 записей)
- Имя и контактный номер (в зашифрованном виде), пол, дата рождения, порядковый номер участника, дата регистрации (2 064 записи)
- Инцидент январь 2025 года: адрес (в зашифрованном виде) и не только — масштаб расследуется
Нет в списке
- История зарядки, местоположения станций, информация об автомобиле (не указаны, но и прямо не заявлено, что они «не утекли»)
- Номера регистрации резидентов и паспортов (не собираются и не хранятся — заявлено CHAEVI)
- Платёжные данные, такие как номера карт и счетов (не собираются и не хранятся — заявлено CHAEVI)
Важно одно различие. CHAEVI прямо заявляет, что не собирает и не хранит номера регистрации резидентов, номера паспортов, а также номера карт и счетов, и поэтому они не утекли. В уведомлениях ничего конкретного не сказано об истории зарядки или местоположении; эти данные просто отсутствуют в списке утекших данных. Исходя из уведомлений, этот сайт может утверждать только следующее: «история зарядки не раскрыта как утёкшие данные».
Утечка за январь 2025 года действительно включает адрес (в зашифрованном виде), но это адрес в клиентских записях, а не местоположения зарядки, и её масштаб пока не раскрыт. Мы обновим статью, когда расследование будет опубликовано.
Что защищает «шифрование», а что нет
CHAEVI говорит, что имена, контактные номера и пароли были зашифрованы односторонним методом, который нельзя расшифровать, поэтому их «нельзя использовать для идентификации людей или входа в аккаунт». В общем случае «односторонний» означает, что ключа для обратного преобразования значения не создаётся, поэтому нет риска, что ключ утечёт вместе с данными и откроет их. Это хороший подход.
Однако у односторонних методов есть общее ограничение. Вместо того чтобы обращать значение вспять, злоумышленник может прогнать через тот же метод распространённые пароли и проверить, совпадает ли какой-либо результат. Методы, которые медленно вычисляются или используют соль (случайное значение, добавляемое к каждому паролю), делают такое сравнение дорогим, но пароль вроде «1234abcd» угадывается одним из первых при любом методе.
В уведомлениях CHAEVI не назван конкретный метод, поэтому этот сайт не оценивает его надёжность. Для пользователей вывод одинаков в любом случае: сама CHAEVI рекомендует сменить пароль, а адреса электронной почты вообще никогда не шифровались. Как работают хеширование и соль, объясняется в статье как безопасно хранить пароли.
Уроки для операторов небольших платформ
Первое уведомление CHAEVI разбило утечку на четыре группы по сочетанию данных, сообщило, что компания не собирает, и связало вместе страницу проверки и страницу смены пароля. Возможность сразу увидеть «к какой группе я отношусь?» — формат, который могут перенять другие платформы. Ниже этот сайт выделяет три действия, которые операторы могут предпринять до инцидента.
Разделите данные истории и данные участников
Данные с привязкой ко времени и месту — зарядка, поездки, платежи — показывают, где и когда находился человек, как только они соединены с данными участника. Пройдитесь по списку таблиц, отметьте каждую таблицу, которая при соединении по идентификатору участника даёт место и время, и задайте срок хранения для каждой. Удаляйте историю старше необходимого срока или разрывайте её связь с идентификатором участника. Как решить, какие данные вообще не стоит хранить, рассказано в статье шесть приоритетов безопасности для организаций.
Найдите, что хранится в открытом виде (незашифрованно) — обычно это адрес электронной почты
Даже когда имена и контактные номера защищены, как в этом случае, адрес электронной почты, используемый как логин, обычно хранится в открытом виде. После его утечки каждый участник становится целью фишинга, поэтому включайте в повседневные сообщения фразу, которую вы бы добавили в уведомление об утечке, — «мы никогда не просим пароль или коды подтверждения по электронной почте» — а также свой официальный домен отправки. Настройки, которые не дают другим подделывать ваш домен отправки, описаны в статье как защититься от подделки почты с помощью SPF, DKIM и DMARC.
Заранее подготовьте шаблон уведомления об утечке
Заранее подготовьте шаблон с пустыми полями для количества по типам утечки, данных, которые вы не собираете, страницы проверки, ссылки на смену пароля, круглосуточной линии связи и органов, в которые вы сообщили. Если писать текст с нуля в день инцидента, появляются пропуски и противоречивые формулировки.
Точка зрения этого сайта: сообщение о том, что НЕ утекло, снижает тревогу
Что дольше всего тревожит пользователей после уведомления об утечке, так это то, о чём в уведомлении не сказано: «а что с моей историей зарядки?» CHAEVI снизила эту тревогу в отношении номеров регистрации резидентов и платёжных данных, прямо заявив, что не собирает их.
Для любого сервиса, который работает с данными о местоположении или истории, этот сайт считает, что отдельная строка с указанием, входили ли данные истории, — самый простой способ сократить и количество обращений в поддержку, и вторичный ущерб.
Источники (открытые материалы)
Факты в этой статье основаны на следующих открытых материалах. Мы не строили предположений о нераскрытых методах или причинах атаки.
- Уведомление CHAEVI, «개인정보 유출 사고 관련 안내 및 사과의 말씀» (Уведомление и извинения в связи с утечкой персональных данных), 26 июля 2026 года — chaevi.com
- Уведомление CHAEVI, «개인정보 유출 관련 추가 안내» (Дополнительное уведомление об утечке персональных данных), 30 июля 2026 года — chaevi.com
- Новостной материал об уведомлении — Boan News
- Справочные службы — Комитет по посредничеству при разрешении споров о персональных данных ／ Центр сообщений о нарушении персональных данных
История обновлений
2026-09-30: первая публикация на основе уведомления CHAEVI от 26 июля и последующего уведомления от 30 июля. Мы обновим статью, когда будут опубликованы результаты по утечке за январь 2025 года или заявление Комиссии по защите персональных данных Кореи.
Читайте далее
- Корея: четыре утечки в банках (октябрь 2026)
- Выдача себя за другое лицо: что делать пользователям TVING после утечки ／ что такое фишинг ／ основы безопасности смартфона
- Утечки в автомобильных сервисах и сервисах мобильности: что делать участникам Times Car ／ что делать участникам Cariteco
- Пароли: руководство по менеджерам паролей ／ хеширование и соль
- Операторам: шесть приоритетов безопасности для организаций ／ SPF, DKIM и DMARC