פרצת הענק ב-Paidwork: 23 מיליון משתמשים נחשפו – כל מה שצריך לדעת ולעשות עכשיו

• מזהים אישיים: שמות מלאים, כתובות דוא"ל, מספרי טלפון, כתובות מגורים, תאריכי לידה, מין, רמת השכלה ותמונות פרופיל.
• נתונים פיננסיים: מספרי חשבון בנק, היסטוריית עסקאות פיננסיות, רישומי תשלומים, ואצל חלק מהמשתמשים – פרטי PayPal וכתובות ארנק קריפטו.
• פרטי התחברות: סיסמאות שהוצפנו באמצעות bcrypt (אלגוריתם הצפנה חזק ואיטי), כמו גם כתובות IP ופרטי מכשיר.
• נתוני פלטפורמה: תחומי עניין אישיים ופרטי פרופיל.

טרוי האנט (Troy Hunt) ציין שכ-35% מכתובות הדוא"ל כבר היו קיימות ב-HIBP מפרצות קודמות, ושה-bcrypt – אף שהסיסמאות אינן בטקסט גלוי – הוא השדה היחיד שתוקפים יכולים באמת לנסות לפצח במצב לא מקוון .

ציר הזמן: איך הנתונים נגנבו והודלפו?

סיכונים למשתמשים שנפגעו

השילוב של מידע פיננסי ואישי בהדלפה אחת יוצרת מערך מסוכן של וקטורי תקיפה:

• הונאה פיננסית. מספרי חשבון בנק, פרטי PayPal ופרטי ארנק קריפטו נחשפו ישירות, מה שמעמיד את המשתמשים בסיכון לעסקאות לא מורשות, השתלטות על חשבונות וגניבה ממוקדת .
• דיוג והנדסה חברתית. עם שמות, כתובות דוא"ל, מספרי טלפון, כתובות מגורים והיסטוריית עסקאות במאגר אחד, תוקפים יכולים ליצור הודעות דיוג משכנעות במיוחד, הודעות SMS או שיחות שמתחזות ל-Paidwork או למוסד פיננסי .
• ניצול סיסמאות חוזרות. מי שהשתמש בסיסמת Paidwork גם באתרים אחרים נמצא בסכנת השתלטות על חשבונות בפלטפורמות אלה. בעוד שהצפנת bcrypt הופכת פיצוח סיסמאות המוני לאיטי, סיסמאות חלשות או נפוצות נותרות פגיעות .
• גניבת זהות. השילוב של שם מלא, תאריך לידה, כתובת, טלפון ונתונים פיננסיים מספיק להונאת זהות במדינות רבות .

7 צעדי אבטחה למשתמשים שנפגעו

אם היה לכם חשבון ב-Paidwork, בצעו את הצעדים הבאים מיד:

1. שנו את סיסמת Paidwork מיד – ושנו את אותה סיסמה בכל אתר אחר שבו השתמשתם בה . השתמשו בסיסמה ייחודית וחזקה לכל שירות.
2. הפעילו אימות דו-שלבי (2FA) בחשבון Paidwork ובכל חשבון אחר שתומך בכך. העדיפו אפליקציית אימות (Authenticator) על פני אימות מבוסס SMS .
3. עקבו מקרוב אחר חשבונות הבנק שלכם. בדקו חשבונות בנק, PayPal וארנקי קריפטו לאיתור עסקאות לא מורשות. דווחו על כל פעילות חשודה לבנק או לנותן שירות התשלום מיד .
4. היזהרו מניסיונות דיוג. היו חשדנים במיוחד כלפי הודעות דוא"ל, שיחות או הודעות טקסט לא רצויות שמזכירות את Paidwork או חשבונות פיננסיים שלכם. אל תלחצו על קישורים בהודעות לא צפויות – נווטו ישירות לאתר הרשמי במקום זאת .
5. בדקו אם כתובת הדוא"ל שלכם נמצאת בפרצה באתר haveibeenpwned.com .
6. הטילו התראת הונאה או הקפאת אשראי מול סוכנויות האשראי הגדולות (Equifax, Experian, TransUnion) אם אתם בארה"ב, במיוחד מאחר שמספרי חשבון בנק נחשפו .
7. הריצו סריקה לחשיפת דוקסינג (למשל, DoxxScan) כדי למפות אילו מהכינויים, כתובות הדוא"ל ומספרי הטלפון שלכם מקושרים בנתונים שדלפו .

בשורה התחתונה

פרשת Paidwork היא תזכורת חדה לכך שפלטפורמות כלכלת היצירה (gig economy) מחזיקות בתערובת עשירה של מידע אישי ופיננסי, שהיא בעלת ערך רב לתוקפים. מאחר שרבים מסוגי המידע החשופים – כמו מספרי חשבון בנק ותאריכי לידה – אינם ניתנים לשינוי, הסיכון להונאה ודיוג יימשך לאורך שנים. פעולה מהירה לאבטחת החשבונות ולניטור הכספים היא ההגנה הטובה ביותר.