Adobe, LinkedIn, Yahoo, Facebook, Twitch, Equifax, Marriott — це лише витоки, що потрапили в заголовки. Тисячі інших туди так і не потрапили. Компанії, яким ми довірили свої адреси, паролі, іноді номери карток і домашні адреси, втратили свої бази даних, які потім викрали й продали. І майже завжди email-адреса — найцінніша частина здобичі, бо це відмичка до всього іншого у вашому цифровому житті.
Почувши про витік, більшість людей змінює пароль у тому одному сервісі й живе далі. Така реакція логічна, але не враховує ширшої картини. Шкода від витоку не обмежується сервісом, який зламали. Вона розходиться хвилями, які тривають місяцями, а іноді й роками. Розуміння всього ланцюжка змінює те, як ви взагалі ставитеся до того, кому даєте свою адресу.
Ця стаття докладно проходить цим ланцюжком: що відбувається одразу після витоку, що — через тижні й місяці, чому саме ваша email-адреса така цінна для зловмисників і що з цим можна зробити на практиці. Мета не налякати вас. Мета — дати чітку картину, щоб ви могли розумніше вирішувати, де ваша справжня адреса насправді має існувати.
Масштаб проблеми
Перш ніж розбиратися в механіці, корисно зрозуміти, наскільки велика ця проблема. Have I Been Pwned, безкоштовний сервіс перевірки витоків, створений дослідником безпеки Troy Hunt, зараз відстежує понад 13 мільярдів скомпрометованих акаунтів із тисяч окремих витоків. Не 13 мільйонів. 13 мільярдів. Доросле населення Землі — близько 6,5 мільярда людей. Багато з цих 13 мільярдів записів — дублікати (та сама адреса в кількох витоках), але масштаб усе одно приголомшує.
За даними Statista про спам-трафік, приблизно 45–50% усієї пошти, що надсилається у світі, — це спам. Значну частину цього спаму живлять викрадені списки адрес, зібрані з витоків даних. Це не нішева проблема, що стосується лише невдах: якщо у вас є email-адреса вже кілька років і ви реєструвалися з нею в онлайн-сервісах, є суттєва ймовірність, що вона потрапила принаймні в один витік.
Радимо зупинитися просто зараз і перевірити свою адресу на Have I Been Pwned, перш ніж читати далі. Результати зазвичай роблять решту статті набагато відчутнішою. Більшість людей знаходить свою адресу у двох–восьми витоках. Дехто — більше. Якщо ваша чиста — чудово, але все одно варто розуміти, від чого ви захищаєтеся.
Що зловмисники роблять із вашою адресою — увесь ланцюжок
Ось чого не помічає більшість публікацій про витоки: шкода від одного витоку не стається одразу й не обмежується одним типом атак. Є послідовність подій, кожна з яких стає можливою завдяки попередній, і саме розуміння цієї послідовності робить проблему реальною, а не абстрактною.
Крок 1: базу витоку продають
Протягом годин чи днів після великого витоку викрадені дані з’являються на ринках дарквебу. Бази даних купують і продають гуртом — іноді за напрочуд невеликі гроші. Файл із мільйонами адрес і хешованих паролів може коштувати кілька сотень доларів. Для зловмисника це просто закупівля сировини для роботи.
Крок 2: одразу починаються спам-кампанії
Найшвидший і найпомітніший наслідок витоку — раптове зростання спаму. Вашу адресу додають до масових розсилок, а Федеральна торгова комісія США (FTC) оцінює, що щодня надсилаються мільярди спам-листів, і викрадені списки адрес — одне з головних джерел. Ви можете помітити нову хвилю спаму через кілька днів чи тижнів після того, як сервіс, яким ви користуєтеся, оголосить про витік. Це не збіг — ваша адреса щойно потрапила в новий список.
Крок 3: атаки credential stuffing
Якщо у витоку були паролі — навіть хешовані, — загроза значно зростає. Автоматизовані інструменти для credential stuffing беруть пари «email + пароль» із витоку й систематично пробують їх у десятках чи сотнях інших сервісів. Ваш вхід у Netflix. Ваш акаунт в Amazon. Ваш банк. Сама ваша пошта. Troy Hunt докладно задокументував, що саме атаки credential stuffing відповідають за величезну частку захоплень акаунтів. Ця атака така ефективна через повторне використання паролів — люди з однаковим паролем у кількох сервісах особливо вразливі. Саме тому змінити лише один уражений пароль недостатньо.
Крок 4: цільовий фішинг, який дещо про вас знає
Звичайні фішингові листи — «Натисніть тут, щоб підтвердити акаунт» — легко розпізнати. Але досвідченіший зловмисник використовує дані з витоку, щоб складати цільові повідомлення з тим, що він справді про вас знає. Він знає, клієнтом якого сервісу ви були. Іноді знає ваш логін, ім’я чи останні чотири цифри платіжної картки. Фішинговий лист на кшталт «Ваш акаунт [справжня назва сервісу] потребує підтвердження — ось ваш логін [ваш справжній логін]» набагато переконливіший за масову розсилку. Таку атаку іноді називають спірфішингом, і саме дані з витоків роблять її можливою.
Крок 5: побудова профілю з кількох витоків
Найвитонченіше використання даних із витоків — їх зіставлення. Зловмисники об’єднують записи з кількох витоків, щоб будувати докладні профілі людей. Ваша адреса була у витоку з ігрового форуму, фітнес-застосунку й інтернет-магазину? Тепер хтось знає, що ви граєте в ігри, як часто тренуєтеся, де робите покупки й, можливо, приблизне місце проживання з даних про доставку. Electronic Frontier Foundation багато писала про те, як агрегування даних перетворює окремо нешкідливі шматки інформації на щось значно інвазивніше. Такі профілі живлять цільовий фішинг, соціальну інженерію, а в крайніх випадках — крадіжку особистості.
Як перевірити, наскільки ви вже вразливі
Найкраще почати з Have I Been Pwned. Введіть свою адресу, і сервіс пошукає її у своїй базі відомих витоків. Для кожного знайденого витоку ви побачите назву сервісу, дату витоку й категорії даних, що потрапили у відкритий доступ (email, пароль, логін, ім’я, номер телефону тощо). Так ви точно знатимете, де ваші дані скомпрометовано і які саме ризики вас стосуються.
Що дуже важливо, Have I Been Pwned пропонує безкоштовні сповіщення про витоки. Ви вводите адресу, підтверджуєте її, і відтоді, якщо вона з’явиться в будь-якому новому витоку, доданому до бази, ви одразу отримаєте лист. Це один із найцінніших безкоштовних інструментів безпеки: замість того щоб дізнаватися про витік через місяці (якщо взагалі), ви дізнаєтеся за кілька днів і можете швидко діяти.
Переглядаючи результати, зверніть особливу увагу на витоки з паролями. Це ваші найризиковіші випадки через описані вище атаки credential stuffing. Для цих витоків переконайтеся, що змінили пароль у кожному сервісі, де використовували такий самий, — а надалі припиніть повторювати паролі й користуйтеся менеджером паролів.
Чому ваш email — найцінніші дані у витоку
Ось над чим варто замислитися: викрадену картку можна заблокувати за кілька хвилин. Злитий пароль можна змінити. А вашу email-адресу? Вона майже постійна. Вона у вас роками, можливо, десятиліттями. До неї прив’язані десятки чи сотні сервісів. Це ключ до скидання паролів, банківських сповіщень, кодів двофакторної автентифікації. Вона пов’язана з вашою особою так, що розплутати це дуже важко.
GDPR дає жителям ЄС законне право вимагати видалення своїх персональних даних, зокрема email-адреси, у будь-якого сервісу, що їх зберігає. На практиці багато компаній уже мають для цього автоматизовані системи, і запит на видалення можна надіслати навіть сервісам, якими ви не користувалися роками. Але запит за GDPR стосується лише компанії, яка його отримала, — він не зачіпає даних, які вже продали чи скопіювали в сторонні бази витоків. Щойно ваша адреса потрапила «в дику природу», жоден закон її не поверне. Запобігання — єдина повністю надійна стратегія.
Рекомендації OWASP з безпеки послідовно наголошують, що email-адреси — цінні дані, які заслуговують на такий самий захист, як паролі. Проте більшість людей діляться своєю адресою значно безтурботніше, ніж паролями, бо адреса здається менш чутливою. Насправді все навпаки — ваш email довговічніший, важливіший і його важче змінити, ніж пароль.
Проблема поверхні атаки
Кожен сервіс, що зберігає вашу справжню адресу, — потенційне місце витоку. Що в більшій кількості баз даних в інтернеті існує ваш email, то більше можливостей його викрасти. Погляньте на математику: якщо за ці роки ви зареєструвалися в 50 онлайн-сервісах і кожен має 2% імовірності витоку на рік (обережна оцінка з огляду на нинішню ситуацію), то ймовірність, що бодай один із них зламають у будь-якому році, дуже висока. Що більше сервісів, то вища вразливість.
Сервіс, у якому ви зареєструвалися три роки тому, щоб завантажити безкоштовний шаблон, скористалися раз і зовсім про нього забули, — це досі живий запис у чиїйсь базі даних. Ту компанію могли купити, у неї міг статися інцидент безпеки, вона могла продати свій список адрес, щоб покрити витрати. Ви не маєте жодного уявлення, що сталося з вашими даними відтоді, як ви їх ввели.
Саме тут тимчасова пошта для необов’язкових реєстрацій докорінно змінює рівняння. Якщо базу того сайту із шаблонами зламають через два роки, вашої справжньої адреси там немає. Тимчасової адреси, яку ви використали, більше не існує. Немає чого красти, нема чого продавати й немає ланцюжка наслідків. Поверхня розкриття вашої справжньої адреси лишається малою — лише ті сервіси, яким вона справді потрібна для важливого тривалого листування.
Що робити, якщо ваш email потрапив у витік
Якщо ви виявили, що ваша адреса потрапила у витік, ось практична послідовність дій, приблизно за пріоритетом:
- Перевірте, у якому саме витоку вона з’явилася, на Have I Been Pwned і зверніть увагу, які дані туди потрапили (лише email чи ще й пароль, ім’я тощо)
- Негайно змініть пароль у цьому сервісі — бажано на довгий і унікальний, згенерований менеджером паролів
- Перевірте, чи не повторювали ви пароль — якщо такий самий пароль був деінде, змініть його всюди, починаючи з найчутливіших акаунтів (пошта, банк, будь-які фінансові сервіси)
- Увімкніть двофакторну автентифікацію в усіх уражених акаунтах, які її підтримують, — навіть маючи ваш пароль, зловмисники не ввійдуть без другого фактора
- Налаштуйте моніторинг витоків на Have I Been Pwned, щоб одразу дізнаватися про будь-які нові випадки
- Уважно стежте за скринькою щодо фішингових спроб, які згадують зламаний сервіс, — зловмисники знають, що ви були його клієнтом, і можуть цим скористатися
- Позначайте спам у поштовому сервісі — більшість поштових сервісів дають змогу позначати листи як спам, що навчає їхні фільтри ловити його більше
- Подумайте, чи потрібен вам ще цей акаунт — якщо ви більше не користуєтеся зламаним сервісом, видалення акаунта прибере ваші дані з його бази
Кращі звички на майбутнє
Головний висновок із усього цього: зменшення поверхні розкриття вашої адреси — найефективніший доступний вам запобіжний захід. Не лише зміна паролів після витоків і не лише двофакторна автентифікація (хоча обидва важливі), а обмеження того, де ваша справжня адреса взагалі зберігається. Витік не може розкрити даних, яких зламаному сервісу ніколи не давали.
Практичний спосіб це втілити — багаторівневе використання пошти. Справжню адресу отримують сервіси, яким вона справді потрібна: ваш банк, роботодавець, найближчі контакти, сервіси, якими ви регулярно користуєтеся й яким довіряєте. Для всього іншого — завантаження, вебінару, допису на форумі, пробної версії SaaS — одноразова адреса тримає вашу справжню пошту поза рівнянням. Поштові сервіси, зосереджені на приватності, як-от Proton Mail, варто розглянути для основної пошти, а сервіси аліасів на кшталт SimpleLogin допоможуть керувати адресами для пересилання в довших стосунках.
Для справді одноразових взаємодій тимчасова пошта — найчистіше рішення: нічого не треба налаштовувати, не потрібен акаунт, жодна справжня особа не задіяна. Коли той сервіс зрештою зламають (а статистично це стається з багатьма сервісами), вашої справжньої адреси просто не буде в його базі. Ви вийшли з ланцюжка ще до того, як він почався.
Кілька слів про ваші права за GDPR
Якщо ви в ЄС (або маєте справу з компаніями, що обслуговують клієнтів з ЄС), GDPR дає вам реальні права, які можна захистити. Ви можете звернутися до будь-якої компанії, що зберігає ваші дані, і вимагати їх видалення за статтею 17 («право на видалення»). Багато компаній тепер мають автоматизовані портали для запитів щодо приватності — шукайте назву компанії разом із «privacy request» чи «data deletion». Це варто зробити для сервісів, якими ви більше не користуєтеся: так ваші дані зникнуть з їхньої робочої бази, і ви будете менш вразливими, якщо їх колись зламають.
Обмеження теж реальні: запит на видалення стосується лише того, що компанія зберігає зараз. Дані, вже продані третім сторонам, скопійовані в бази витоків чи передані спамерам, запитом за GDPR не дістати. Це ще одна причина, чому запобігати непотрібному поширенню вашої адреси набагато ефективніше, ніж намагатися прибрати наслідки потім.
Наостанок
Мета всього цього — не зробити вас параноїком щодо інтернету. Мета — показати, що рішення про те, кому ви даєте свою адресу, мають реальні й тривалі наслідки, а невеликі зміни звичок можуть з часом відчутно зменшити вашу вразливість. Ваша справжня адреса цінна. Ставтеся до неї відповідно. Давайте її лише сервісам, які справді на це заслуговують, і нехай одноразові адреси беруть на себе все інше.
Якщо ви ще не зробили цього, перевірте свою адресу на Have I Been Pwned сьогодні. Налаштуйте сповіщення про витоки. А наступного разу, коли щось попросить вашу адресу, а ви не впевнені, що воно того варте, подумайте, чи не впорається з цим так само добре тимчасова пошта — без ризику для вашої справжньої адреси.