Do poważnego zdarzenia z zakresu cyberbezpieczeństwa doszło w dwóch polskich sklepach online – vegehome.pl i polskiekoldry.pl. Na skutek incydentu do internetu przedostały się informacje nawet o 130 tysiącach klientów.
Cyberprzestępca opublikował bazę danych zawierającą ponad 9 milionów wpisów.
Robert Biskupski
O sprawie napisał serwis CyberDefence24, który dokonał analizy udostępnionej bazy danych. Wcześniej jednak doniesienia o wycieku pojawiły się na jednym z forów hakerskich. Cyberprzestępca upublicznił bazę danych zawierającą ponad 9 milionów pozycji.
Reklama Reklama
Wśród nich odnaleziono informacje o konsumentach sklepów internetowych, takie jak imiona, nazwiska, adresy e-mail, numery telefonów, jak również szczegóły dotyczące zamówień i częściowo adresy doręczeń. Ocenia się, że może on obejmować nawet 130 tysięcy unikalnych użytkowników.
Ujawnienie danych klientów sklepów online w Polsce – 130 tysięcy kont
W upublicznionej bazie znalazły się różnorodne dane osobowe konsumentów. Szczególnie niepokojący jest fakt, iż wśród nich były również hasła do kont użytkowników – co prawda zachowane w formie tzw. hashy, lecz nadal potencjalnie możliwe do rozszyfrowania.
Eksperci alarmują, iż tego typu informacje mogą zostać wykorzystane do prowadzenia ataków phishingowych, prób przejęcia kont albo kradzieży tożsamości. Nawet fragmentaryczne dane mogą stanowić wartościowy materiał dla cyberprzestępców.
Opinie i komentarze 6 luk w firmach, które atakujący widzą natychmiast. Zarządy – dopiero po ataku
Zarządy firm, które korzystają z narzędzi AI powinny zadać sobie pytanie: czy wiemy, jakie dokumenty zewnętrzne trafiają do naszych systemów AI i c…
Jak ustalono, oba sklepy posługiwały się wspólną bazą danych, co zasadniczo powiększyło zasięg incydentu. Przyczyną problemu nie była jednak bezpośrednio platforma sprzedażowa, lecz wrażliwość w zewnętrznym narzędziu administracyjnym wykorzystywanym w środowisku testowym.
Słabe punkt zabezpieczeń zostało już załatane, jednakże sam fakt jego zaistnienia uwidacznia, jak sporym zagrożeniem mogą być niewystarczająco chronione elementy infrastruktury IT.
Co zagraża klientom po ujawnieniu danych? Phishing, kradzież tożsamości, oszustwa internetowe
Specjaliści zaznaczają, że osoby, których dane przedostały się do sieci, mogą być wystawione na różnego rodzaju niebezpieczeństwa. Najczęściej są to: próby phishingu (spreparowane wiadomości e-mail i SMS), usiłowania wyłudzenia danych logowania, wykorzystanie danych do przekrętów finansowych i ataki socjotechniczne. Szczególnie niebezpieczne są przypadki, w których użytkownicy używają tych samych haseł w licznych serwisach.
Klienci dotknięci incydentem mają być powiadomieni o potencjalnym naruszeniu ich informacji.
Firmy potwierdziły incydent i podjęły działania mające na celu zminimalizowanie konsekwencji wycieku. Wprowadzono m.in. reset haseł użytkowników i dodatkowe zabezpieczenia systemów.
Sprawa została zgłoszona do Urzędu Ochrony Danych Osobowych i CERT Polska. Klienci objęci incydentem mają zostać poinformowani o potencjalnym naruszeniu ich danych.
To następny przypadek wycieku informacji w polskiej branży e-commerce, który demonstruje, że zagrożenia w cyberprzestrzeni nieustannie wzrastają. Ataki coraz częściej wykorzystują nie tylko bezpośrednie słabości w sklepach online, ale również luki w narzędziach zewnętrznych i integracjach.
Czytaj więcej:
Nawigator prawny Poradnik Cyberbezpieczeństwo – tylko slogan czy realny nowy obowiązek?
Nowelizacja ustawy o KSC oznacza dla wielu organizacji konieczność przeprowadzenia audytu istniejących procedur bezpieczeństwa oraz dostosowania sy…
Pro
Eksperci akcentują, iż bezpieczeństwo danych powinno stanowić jeden z priorytetów dla firm funkcjonujących w sieci. Nawet pojedyncza słabość może prowadzić do ujawnienia informacji o dziesiątkach tysięcy konsumentów.
Specjaliści rekomendują użytkownikom podjęcie podstawowych kroków bezpieczeństwa. Przede wszystkim bezzwłoczną zmianę haseł (zwłaszcza jeśli były stosowane w wielu serwisach), włączenie uwierzytelniania dwuskładnikowego (2FA), zachowanie ostrożności w stosunku do podejrzanych wiadomości, a także monitorowanie aktywności na kontach i w bankowości elektronicznej.