Хакер украл конфиденциальные данные более 1,8 млн домовладельцев

В Индии утекли конфиденциальные данные из приложения для управления жильем. Конфиденциальные данные выложены в Дарквеб.

Хакер под псевдонимом Blinkers в конце ноября загрузил персональные данные 1,86 млн пользователей приложения Adda на один из хакерских форумов, сообщили сайты Leakd и Have I Been Pwned, занимающиеся мониторингом утекшей информации.

Adda — популярное в Индии и ряде других стран приложение для управления жильем в многоквартирных домах, а также апартаментами, виллами и частными домами.

Размер слитых в Дарквеб данных в несжатом виде составляет 145 ГБ. Как сообщается, они распространялись рядом подпольных сообществ. Согласно отчету исследователей, похищенная из приложения Adda информация включают идентификаторы владельцев, а также имена и фамилии пользователей, номера телефонов, адреса электронной почты и пароли (хешированные с помощью алгоритма MD5).

Злоумышленник Blinkers утверждал, что утечка данных произошла в марте 2025 г. Распространение личной информации домовладельцев может представлять для них серьезные риски. Для проведения фишинговых атак злоумышленникам может быть достаточно имен пользователей приложения и их телефонных номеров. Полученные в результате взлома учетные данные могут использоваться для входа в аккаунты на других платформах (т.н. «подстановка учетных данных» — credential stuffing).

Индия совершенствует законодательство в области защиты персональных данных

Информация о крупной утечке информации из приложения Adda появилась через несколько дней после того, как Министерство электроники и информационных технологий Индии (MeitY) опубликовало Правила защиты цифровых персональных данных (DPDP). Это открывает путь к принятию в Индии закона о защите данных.

Хотя некоторые положения, такие как поправка к Закону о праве на информацию (RTI) и создание Совета по защите данных (DPB) Индии, уже действуют, другие разделы, касающиеся защиты информации граждан, еще не вступили в силу.

Например, требования к организациям запрашивать согласие пользователей перед обработкой их персональных данных, использовать персональные данные только в определенных законом целях и уведомлять пользователей об утечках данных вступят в силу только через 18 месяцев.

Сроки выполнения требований законодательства о защите данных могут различаться для крупных технологических компаний и стартапов.

Номер телефона и адрес электронной почты пользователя классифицируются как «персональные данные» в соответствии с индийским Законом о защите персональных данных (DPDP) 2023 года, который определяет «утечку персональных данных» как «любую несанкционированную обработку персональных данных или случайное раскрытие, получение, обмен, использование, изменение, уничтожение или потерю доступа к персональным данным, которые ставят под угрозу конфиденциальность, целостность или доступность персональных данных».

Источник: The Indian Express