Zaradili malo, a mogu da izgube sve: procurili bankovni računi 23 miliona korisnika Paidworka
Paidwork je platforma na kojoj se zarađuje sitno, po nekoliko centi za gledanje reklama, popunjavanje anketa i testiranje aplikacija. Za mnoge korisnike, naročito u siromašnijim zemljama, to nije džeparac nego pravi prihod. Nažalost, baza pripisana toj platformi, sa 23.272.765 jedinstvenih mejl adresa, procurila je onlajn. U paketu se, prema izveštaju, nalaze imena, datumi rođenja, pol, telefoni, kućne adrese, fotografije profila, IP adrese i podaci o uređajima — ali i brojevi bankovnih računa, finansijske transakcije i cela istorija isplata ovim svojevrsnim digitalnim nadničarima. Napadač je još u martu tvrdio da je izvukao oko 11 GB iz Paidworkovih produkcionih sistema i nudio ih na prodaju. Četiri meseca kasnije većina tih podataka je razotkrivena besplatno, a Have I Been Pwned ih je uvrstio u svoju bazu. Lozinke su čuvane kao bcrypt heševi, pa se ne razbijaju tako lako — ali to je jedina dobra vest. Paidwork do objave nije ni potvrdio ni demantovao napad i eksfiltraciju, niti rekao šta je povodom svega preduzeo. U međuvremenu, slučaj je od tvrdnje na kriminalnom forumu prerastao u proverljivu činjenicu.
Ovde lozinka i nije najveći problem — bcrypt je čuva, a i da je ne čuva, promeni se za deset sekundi. Bankovni račun, adresa, datum rođenja i istorija isplata se ne menjaju tek tako; jednom kad se otkriju, nema nazad. To je gotov paket za manipulaciju skrojenu po meri: kad ti neko napiše da je „Paidwork podrška” i napomene tačan iznos tvoje poslednje isplate, pravi račun i banku, poruka više ne zvuči kao prevara. I pogađa one koji najmanje mogu da podnesu gubitak, što slučaju daje posebnu težinu. Kod nas ovakve servise za mikro-zaradu koriste đaci, studenti i ljudi sa tankim budžetom, a za njih prevara od par stotina evra može da bude itekako bolna.
- Ako si koristio Paidwork, proveri svoju mejl adresu na haveibeenpwned.com — tamo je ovaj proboj indeksiran
- Promeni lozinku na Paidworku i svuda gde si koristio istu ili sličnu; na crvenapilula.rs/lozinka proveri da li ti je stara procurela i napravi novu jaku
- Uključi dvofaktorsku autentifikaciju na mejlu i drugim važnim nalozima
- Prati račun na nepoznate transakcije i sitne probne uplate ili terećenja
- Ne veruj poruci samo zato što navodi tačan iznos isplate, banku, adresu ili drugi stvaran podatak o tebi