Утечка данных приложения и интернет-магазина MrMax (до примерно 1,74 млн человек): имена, адреса эл. почты и номера телефонов — что делать участникам программы

Утёкший набор данных включает идентификатор участника, имя, адрес эл. почты и номер телефона. Имея всё это, мошенник может отправить сообщение с вашим правильным именем и идентификатором участника.

Если вы получили сообщение о «купонах в качестве извинения», «бонусных баллах», «повторной регистрации данных участника» или «процедуре возврата средств», не открывайте ссылку; откройте приложение или официальный сайт сами, чтобы проверить информацию. Поддельные SMS (смишинг) нужно обрабатывать так же (см. Что такое фишинг?).

Компания говорит, что никогда не будет запрашивать у вас пароль или номер кредитной карты. Она также заявляет, что подтвердила: пароли и данные кредитных карт не утекли.

То, что звонящий знает ваше имя и идентификатор участника, не доказывает его подлинность. Именно эти данные и утекли. Если кто-то просит номер карты или пароль под предлогом извинений или возврата средств, считайте это мошенничеством.

Компания говорит, что будет связываться с затронутыми участниками по эл. почте, отправляя письма с адреса noreply@mrmax.jp. Этот адрес отличается от домена сайта (mrmax.co.jp), но это адрес отправителя, который сама компания объявила.

Однако адреса отправителя можно подделать. Даже если отправитель выглядит правильно, самое простое правило: никогда не входите и ничего не вводите по ссылке из письма.

Компания говорит, что пароли не утекли, поэтому согласно уведомлению нет необходимости менять свой пароль немедленно.

Однако если вы используете для аккаунта MrMax тот же пароль, что и на других сервисах, разведите их уже сейчас. Для инвентаризации паролей реально подходит менеджер паролей. Проверить, появлялся ли повторно используемый пароль в прошлых утечках, можно с помощью материала Как проверить, утёк ли ваш пароль.

Вы можете создать новый адрес эл. почты, но номер телефона сменить непросто. Утёкшие номера могут долго получать мошеннические звонки и сообщения, в том числе не связанные с MrMax.

Включение фильтров спам-звонков и спам-сообщений на телефоне уменьшает число пропускаемых сообщений (справочно: Основы безопасности смартфона). Компания также просит участников обращать внимание на подозрительные почтовые отправления, хотя и говорит, что адреса не утекли.

Компания указывает адрес эл. почты для вопросов, связанных с этим инцидентом (incident-desk@mrmax.co.jp). Используйте контактные данные из уведомления на официальном сайте MrMax, а не те, что указаны в полученном вами сообщении.

Приложение или интернет-магазин собираются из нескольких компонентов: пакета для электронной коммерции, административных экранов, плагинов и внешних библиотек. Начните с перечня того, какое программное обеспечение и какую версию вы используете. Бесплатные инструменты, например osv-scanner, могут регулярно проверять зависимости на известные уязвимости.

Помимо версий, перечислите и функции, работающие на сервере: загрузку файлов, массовый импорт и экспорт, административные API, отладочный вывод и так далее.

Функции, которые включены по умолчанию, но никогда не используются, лучше отключить. Если административная функция нужна, не оставляйте её открытой для любого в интернете: ограничьте, откуда к ней можно обратиться, и требуйте многофакторную аутентификацию.

Рискованные настройки по умолчанию для каждого фреймворка собраны в материале Безопасность по фреймворкам.

Компания говорит, что заметила подозрительный доступ вечером в субботу, немедленно приостановила сервис и в тот же день заблокировала внешний доступ. Чтобы сделать то же самое в праздничный день, заранее решите, кто получает оповещения и кто принимает решение о приостановке сервиса.

В качестве первого шага фиксируйте каждый час, сколько строк считывается из базы участников и как используются административные функции, и отправляйте оповещение дежурному, если показатели резко отличаются от обычных (справочно: Ограничение частоты запросов и контроль злоупотреблений).