За последние пятнадцать лет утекли базы сотен сервисов: форумов, магазинов, соцсетей, игровых площадок. Почти у любого адреса, которому больше пары лет, найдётся хотя бы одна утечка. Поэтому важен не сам факт, а подробности: что именно утекло, когда и откуда.
Что смотреть в утечке
- Какие поля раскрыты. Email и ник — почти безобидно. Пароль или его хеш, телефон, адрес, дата рождения — уже серьёзно.
- Когда это случилось. Пароль из утечки десятилетней давности, скорее всего, давно сменён. Свежая утечка — повод действовать сегодня.
- Откуда. Утечка с площадки, где человек хранил рабочие данные, опаснее, чем с забытого форума.
Как проверяет Oracul
Проверка идёт по публичной базе утечек XposedOrNot: по email Oracul получает список утечек, их даты и типы раскрытых данных. Сами пароли и содержимое баз не запрашиваются и не хранятся. Проверка доступна на платных тарифах.
Если среди раскрытых полей есть пароли, в сигналах скана появляется флаг breached_credentials. Рядом — число утечек, чтобы строить свои пороги.
Утечка как сигнал в антифроде
Для антифрода утечка работает в обе стороны. Адрес с несколькими старыми утечками — косвенный признак, что он настоящий и им пользуются годами: синтетическому адресу, созданному под заявку, утекать неоткуда. А свежая утечка с паролями — признак риска захвата аккаунта: вход с нового устройства по такому адресу стоит проверить строже.
Утечка как задача для ИБ
- Проверить, не используется ли утёкший пароль в корпоративных системах.
- Принудительно сменить его и включить второй фактор.
- Предупредить сотрудника: по его адресу возможен фишинг от имени взломанного сервиса.