Повідомлення стає сценарієм
Повідомлення про витік розповідає публіці, яку організацію це зачепило, які дані були залучені та як з клієнтами зв’яжуться. Шахраї використовують саме ці деталі. Повідомлення, що згадують витік, цитують оголошення та обіцяють компенсацію чи перевірку безпеки, виглядають правдоподібно, бо сам витік справжній.
Як виглядає ця хвиля
В анонімізованих узагальнених прикладах, які ми вивчаємо, закономірність повторюється: домени-двійники, зареєстровані протягом кількох днів після оголошення, текстові повідомлення та листи, що ведуть на підроблені сторінки підтримки або повернення коштів, і фальшиві послуги, які пропонують за плату видалити витеклі дані. Ті самі канали, що рекламують витік, часто поширюють і ці приманки.
Сигнали, за якими можуть стежити захисники
Нові реєстрації доменів і записи в журналах прозорості сертифікатів, що містять назву бренду, платіжні сторінки, які копіюють дизайн організації, і публічні дописи з пропозицією перевірити, чи постраждав обліковий запис. Кожен із цих проявів можна зберегти, обчислити геш і надіслати реєстратору, хостинг-провайдеру або службі зі зловживань, не торкаючись самих витеклих даних.
Що допомагає клієнтам
Чіткі, повторювані роз’яснення працюють краще, ніж єдине повідомлення: якими каналами користується організація, про що вона ніколи не проситиме та куди повідомляти про підозрілі повідомлення. Публікація офіційних доменів і номерів підтримки полегшує розпізнавання двійників як клієнтам, так і службам, що їх блокують.
Як ми підходимо до цього
Ми пасивно відстежуємо публічні джерела щодо постраждалого бренду та його постачальників і приватно повідомляємо організації про те, що знаходимо. Ми не взаємодіємо з людьми, які ведуть кампанію, не купуємо й не завантажуємо витеклі дані та не публікуємо подробиць витоку, який публічно не підтверджено.