Компания подтвердила взлом DoorDash, при этом полные контактные данные клиента были раскрыты в результате нарушения безопасности: имя, адрес и номера телефонов.
Отдельно LastPass также подтвердил атаку на свои собственные системы, но заявляет, что не верит в получение каких-либо пользовательских данных…
Взлом DoorDash
DoorDash сообщает, что в результате «изощренной» фишинговой атаки были получены пользовательские данные.
Недавно нам стало известно, что сторонний поставщик стал целью изощренной фишинговой кампании, и что некоторые личные данные, хранящиеся в DoorDash, были затронуты. […]
Для потребителей информация, доступ к которой получила неавторизованная сторона, в основном включала имя, адрес электронной почты, адрес доставки и номер телефона.
Для меньшего числа потребителей также была доступна основная информация о заказе и частичная информация о платежной карте (т. е. тип карты и последние четыре цифры номера карты).
Для Dashers информация, доступная неавторизованной стороне, в основном включала имя и номер телефона или адрес электронной почты. Информация, затрагиваемая для каждого затронутого лица, может различаться.
Компания заявляет, что злоумышленник не получил доступа к полной информации о карте, реквизитах банковского счета, номерам социального страхования, номерам социального страхования или паролям.
Взлом DoorDash заключался в использовании украденных учетных данных поставщика для получения доступа к внутренним инструментам DoorDash, которые затем позволили злоумышленнику получить доступ к данным клиентов.
Компания заявляет, что в ответ предприняла четыре шага:
Уведомление правоохранительных органов Уведомление затронутых пользователей и регуляторов защиты данных Повышение безопасности в DoorDash и стороннем поставщике Привлечение фирмы по кибербезопасности для оказания помощи в расследовании
Дополнительную информацию можно найти в FAQ (прокрутите вниз).
Атака LastPass
Bleeping Computer обнаружил несвязанную атаку на компанию по управлению паролями LastPass, которая с тех пор была подтверждена компанией.
В данном случае, похоже, злоумышленникам был нужен собственный исходный код компании и другая конфиденциальная информация, а не данные клиентов.
Две недели назад мы обнаружили необычную активность в некоторых частях среды разработки LastPass. После начала немедленного расследования мы не обнаружили доказательств того, что этот инцидент связан с каким-либо доступом к данным клиентов или зашифрованным хранилищам паролей.
Мы установили, что неавторизованная сторона получила доступ к частям среды разработки LastPass через одну скомпрометированную учетную запись разработчика и похитила части исходного кода и некоторую проприетарную техническую информацию LastPass.
Компания подчеркнула, что хакер не может получить мастер-пароли пользователей, поскольку LastPass никогда не имеет к ним доступа.
Этот инцидент не скомпрометировал ваш мастер-пароль. Мы никогда не храним и не знаем ваш мастер-пароль. Мы используем стандартную отраслевую архитектуру с нулевым разглашением, которая гарантирует, что LastPass никогда не узнает или не получит доступ к мастер-паролю наших клиентов. Вы можете прочитать о технической реализации Zero Knowledge здесь.
Протоколы с нулевым разглашением означают, что вы можете доказать LastPass, что знаете свой мастер-пароль, при этом сам LastPass не узнает, что это такое. Простой способ понять принцип, лежащий в основе этого, — аналогия с другом-дальтоником:
У друга-дальтоника есть два мяча, один красный, один зеленый, которые он не может различить, а вы можете. Чтобы доказать, что вы можете это сделать, они держат по одному мячу в каждой руке, кладут их за спину и случайным образом меняют мячи между руками или нет. Они снова показывают мячи, и вы говорите, поменяли ли они их местами. Повторите столько раз, сколько необходимо, чтобы эффективно избавиться от угадывания.
В конце процесса ваш друг еще не знает цвета шаров, но убедился, что знаете вы.
Соблюдайте стандартные меры кибербезопасности
Как всегда, вы должны принять стандартные меры кибербезопасности, в том числе: надежные уникальные пароли для каждого веб-сайта и приложения; замаскированные ответы на контрольные вопросы; использование двухфакторной аутентификации; никогда не переходите по ссылкам, отправленным по электронной почте, на конфиденциальные службы, такие как банки, финансовые службы и все, что требует вашего Apple ID. При использовании общедоступных точек доступа Wi-Fi рекомендуется использовать службу VPN.
Фото: Льюис Кангете Нгуги/Unsplash
