Раскрыто 235 миллионов аккаунтов пользователей Instagram, TikTok и YouTube

1 августа исследователи в области безопасности Comparitech обнаружили базу данных, в которой хранилось огромное количество личной информации и которая была доступна из любой точки мира без какой-либо формы аутентификации. Команда под руководством Боба Дьяченко проанализировала содержимое сервера и определила, что на нем хранится чуть более 238 миллионов записей. Из них 192 миллиона принадлежали пользователям Instagram, около 42 миллионов были взяты с популярной платформы обмена видео TikTok, и чуть менее 4 миллионов содержали информацию, связанную с аккаунтами YouTube.

Записи не были единообразными в раскрываемой информации. Например, только пятая часть из них содержала либо номер телефона, либо адрес электронной почты. Пароли не были раскрыты, но оставалось довольно много другой информации. Он включал имена профилей, настоящие имена, фотографии профилей, возраст, пол пользователей, а также широкий спектр статистических данных об их взаимодействии с социальными сетями и другими людьми. Узнав, какие данные были раскрыты, следующей задачей Дьяченко было выяснить, как они попали в «дырявые» базы данных.

Instagram, TikTok и YouTube не взломали

Пользователи социальных сетей среди вас с облегчением узнают, что утечка не была результатом скоординированных кибератак против Instagram, TikTok и YouTube. На самом деле утечка данных не была украдена в полном смысле этого слова. Он был открыт для общего доступа самими владельцами учетных записей, и он был скопирован и организован с помощью автоматического сценария.

Изначально Дьяченко был почти уверен, что базы данных принадлежат Deep Social, ныне не существующей аналитической компании, которая раньше работала в сфере маркетинга влияния. Пару лет назад Deep Social хвастался большой клиентской базой и сотрудничеством с крупными компаниями. Однако летом 2018 года Facebook сообщил Deep Social, что ему больше не разрешено использовать API социальных сетей из-за нарушения условий обслуживания. Вскоре после этого аналитическая компания закрылась.

Тем не менее Дьяченко удалось связаться с человеком, связанным с Deep Social, и раскрыть утечку. Ему сказали, что его электронное письмо было отправлено другой влиятельной маркетинговой компании под названием Social Data. Social Data отключил сервер через несколько часов после его обнаружения, и представитель компании связался с Comparitech, чтобы извиниться за утечку и указать, что Social Data не имеет ничего общего с Deep Social. Присутствие слова «deepsocial» в названиях баз данных Social Data и сходство между страницами «О нас» на сайтах двух компаний остались необъясненными.

Почему утечка была серьезной?

Вы можете подумать, что утечка не так уж и плоха. В конце концов, как с радостью подчеркнул представитель Social Data, информацию, собранную в базе данных, можно увидеть на страницах профилей 238 миллионов затронутых аккаунтов. Он общедоступен, и, по крайней мере теоретически, владельцы это хорошо знают. Все, что сделали социальные данные, - это очистили их и собрали в хорошо организованной базе данных. Имейте в виду, что это почти то же самое, что делала Deep Social до тех пор, пока Facebook не дал ему пощечину.

Сбор общедоступных данных противоречит условиям использования большинства социальных сетей, и для этого есть очень веская причина. Такие компании, как Social Data и Deep Social собирают всю эту информацию, а затем получают от нее прибыль, продавая ее клиентам, которые организуют целевые рекламные кампании. Уже сейчас спорный вопрос, соответствует ли весь этот бизнес законам и постановлениям, таким как GDPR ЕС, например, и есть и другие проблемы.

Киберпреступники, которые хотят запустить целевые фишинговые кампании против пользователей социальных сетей, могут получить огромную выгоду от хорошо организованной базы данных, содержащей данные пользователей. Сбор данных - это процесс, который создает эти огромные наборы данных, и поэтому гиганты социальных сетей, такие как Facebook, не терпят этого. Что еще хуже, как показали социальные данные, иногда эти базы данных хранятся небезопасно, и это значительно упрощает жизнь мошенникам.

К сожалению, этот инцидент является очень хорошей иллюстрацией того, насколько мало у пользователей контроля над тем, что происходит с их данными, когда они находятся в их профиле в социальных сетях. Вот почему вам, вероятно, следует быть более осторожным с личными данными, которыми вы делитесь на этих платформах. Если вы используете Instagram, TikTok или YouTube, вам также следует иметь в виду, что еще не ясно, имел ли кто-либо доступ к просочившимся данным до того, как они были удалены. Возможно, вы захотите следить за любыми подозрительными электронными письмами или сообщениями.