Masivní únik dat z Paidwork: 23 milionů uživatelů přišlo o bankovní i osobní údaje

Jaké informace unikly

Uniklá databáze obsahuje širokou škálu osobních a finančních údajů :

• Osobní identifikátory: Celá jména, e-mailové adresy, telefonní čísla, domácí adresy, data narození, pohlaví, úroveň vzdělání a profilové fotografie.
• Finanční údaje: Čísla bankovních účtů, historie finančních transakcí, záznamy o výplatách a (u některých uživatelů) údaje o PayPal a adresy kryptoměnových peněženek.
• Přihlašovací údaje k účtům: Hesla hashovaná pomocí bcrypt (silný, pomalý hash), dále IP adresy a informace o zařízení.
• Data platformy: Osobní zájmy a podrobnosti o uživatelském profilu.

Troy Hunt poznamenal, že přibližně 35 % e-mailových adres bylo již v HIBP z předchozích úniků a že hesla hashovaná bcryptem – i když nejsou v plaintextu – jsou jediným polem, které se útočníci mohou realisticky pokusit prolomit offline .

Časová osa: Jak byla data odcizena a zveřejněna

Rizika pro postižené uživatele

Kombinace finančních a osobních údajů v jediném souboru vytváří nebezpečný soubor útočných vektorů:

• Finanční podvod. Čísla bankovních účtů, údaje o PayPal a podrobnosti o kryptopeněženkách jsou přímo vystaveny, což uživatele vystavuje riziku neoprávněných transakcí, převzetí účtů a cílené krádeže .
• Phishing a sociální inženýrství. S kombinací jmen, e-mailových adres, telefonních čísel, domácích adres a historie transakcí v jedné databázi mohou útočníci vytvářet vysoce věrohodné phishingové e-maily, SMS zprávy nebo telefonáty, které se vydávají za Paidwork nebo finanční instituci .
• Credential stuffing (napadení hesly). Každý, kdo použil své heslo z Paidwork i na jiných stránkách, riskuje převzetí účtu na těchto platformách. Zatímco bcrypt hashování zpomaluje hromadné prolomení hesel, slabá nebo běžná hesla zůstávají zranitelná .
• Krádež identity. Kombinace celého jména, data narození, adresy, telefonu a finančních údajů je v mnoha jurisdikcích dostatečná pro podvod s identitou .

7 bezpečnostních kroků pro postižené uživatele

Pokud jste měli účet na Paidwork, podnikněte tyto kroky okamžitě:

1. Okamžitě změňte své heslo na Paidwork – a změňte stejné heslo na jakékoli jiné stránce, kde jste ho používali . Používejte pro každou službu unikátní, silné heslo.
2. Zapněte dvoufaktorové ověřování (2FA) na svém účtu Paidwork a na všech ostatních účtech, které to podporují. Preferujte autentizační aplikaci před 2FA přes SMS .
3. Pečlivě sledujte své finanční účty. Zkontrolujte bankovní účty, PayPal a kryptoměnové peněženky, zda na nich nedošlo k neoprávněným transakcím. Jakoukoli podezřelou aktivitu okamžitě nahlaste své bance nebo poskytovateli plateb .
4. Dejte si pozor na pokusy o phishing. Buďte obzvláště podezřívaví k nevyžádaným e-mailům, hovorům nebo textovým zprávám odkazujícím na Paidwork nebo vaše finanční účty. Neklikejte na odkazy v neočekávaných zprávách – místo toho přejděte přímo na oficiální web .
5. Zkontrolujte, zda váš e-mail nebyl v úniku na haveibeenpwned.com .
6. Zvažte podání žádosti o blokování úvěru (credit freeze) u hlavních úvěrových registrů – v ČR například u společností jako BRKI nebo Solus, zejména pokud byla odhalena čísla bankovních účtů .
7. Spusťte skenování expozice doxxingu (např. DoxxScan) pro zmapování toho, které vaše přezdívky, e-maily a telefonní čísla jsou v uniklých datech propojeny .

Shrnutí

Únik dat z Paidwork je jasnou připomínkou toho, že platformy gig economy drží bohatou směs osobních a finančních údajů, která je pro útočníky velmi cenná. Vzhledem k tomu, že mnoho odhalených typů dat – jako jsou čísla bankovních účtů a data narození – nelze změnit, riziko podvodů a phishingu přetrvá roky. Rychlé jednání k zabezpečení vašich účtů a sledování vašich financí je nejlepší obranou.