Vyriškų drabužių parduotuvė „Bonobo“ patyrė didžiulį duomenų pažeidimą, dėl kurio buvo atskleista milijonų klientų asmeninė informacija.
„Bonobo“ savo veiklą pradėjo kaip internetinė vyriškų drabužių parduotuvė, tačiau vėliau išsiplėtė iki šešiasdešimties vietų, kad galėtų pasimatuoti drabužius prieš perkant. „Walmart“ įsigijo „Bonobo“ 2017 m. už 300 mln. USD, kad galėtų parduoti savo drabužius savo svetainėje Jet.com.
Praėjusį savaitgalį grėsmių veikėjas, žinomas kaip ShinyHunters, žinomas dėl internetinių paslaugų įsilaužimo ir vogtų duomenų bazių pardavimo, paskelbė visą Bonobo duomenų bazę nemokamame įsilaužėlių forume.
Forumo įrašas nutekino Bonobo duomenų bazę
Nutekėjo didžiulė 70 GB duomenų bazė
Ši nutekėjusi duomenų bazė yra didžiulis 70 GB SQL failas, kuriame yra kelios vidinės lentelės, naudojamos Bonobo svetainėje. Duomenų bazėje taip pat yra įvairių duomenų, kurie yra daug įdomesni grėsmės veikėjams, pavyzdžiui, klientų adresai, telefonų numeriai, daliniai kredito kortelių numeriai (paskutiniai keturi skaitmenys), užsakymų informacija, slaptažodis ir kredito kortelių istorijos. virtuali dovana.
Įrašų skaičius skiriasi priklausomai nuo duomenų kategorijos. Pavyzdžiui, adresas ir telefono numeriai nurodo 7 milijonus klientų / užsakymų, 1,8 milijono registruotų klientų sąskaitos informaciją ir 3,5 milijono dalinių kredito kortelių įrašų.
Filtruotų vartotojų įrašų lentelė
Duomenų bazėje saugomi slaptažodžiai užšifruojami naudojant SHA-256 arba SHA-512, priklausomai nuo grėsmės veikėjų, kurie pradėjo nuskaityti duomenų bazę. Grėsmių veikėjas teigia, kad nulaužė 158 000 SHA-256 slaptažodžių, bet negalėjo nulaužti SHA-512 slaptažodžių.
Įsilaužėlis pavertė įsilaužtus slaptažodžius į „jungtinį sąrašą“, naudojamą kredencialų užpildymo atakoms, kad prisijungtų su pavogtais kredencialais kitose svetainėse.
Atsarginė duomenų bazė buvo pavogta iš debesies
Po to, kai „BleepingComputer“ susisiekė su „Bonobo“ dėl nutekintos duomenų bazės, drabužių parduotuvė mums pranešė, kad grėsmės veikėjai turėjo prieigą ne prie vidinių sistemų, o prie atsarginės kopijos failo, esančio išorinėje debesies aplinkoje.
„Į mūsų klientų duomenų apsaugą žiūrime labai rimtai. Toliau tiriame šį klausimą ir iki šiol neradome jokių įrodymų, kad neleistinos šalys turi prieigą prie Bonobo vidinės sistemos. Mes nustatėme, kad neteisėta trečioji šalis galėjo peržiūrėti atsarginės kopijos failą, priglobtą išorinėje debesies aplinkoje. Susisiekėme su prieglobos paslaugų teikėju, kad išspręstume problemą, kai tik apie tai sužinojome.
„Be to, siekdami toliau apsaugoti klientų paskyras, ėmėmės papildomų atsargumo priemonių, įskaitant prieigos taškų išjungimą, paskyros slaptažodžių panaikinimą ir slaptažodžių nustatymo iš naujo užklausą. Mes siunčiame klientams el. laišką, kad informuotume juos, kad jų užšifruotą kontaktinę informaciją ir slaptažodžius galėjo peržiūrėti neteisėta trečioji šalis. Ši problema neturėjo įtakos mokėjimo informacijai. Mes ir toliau dalinsimės naujienomis su klientais, kai tik jie bus pasiekiami“, – „BleepingComputer“ el. paštu sakė Bonobosas.
Nors į duomenų bazę nebuvo įtraukta visa mokėjimo informacija, grėsmės veikėjai gali naudoti dalinius duomenis sukčiavimo išpuoliuose.
Dalinė kredito kortelės informacija duomenų bazėje
Ką turėtų daryti Bonobo vartotojai?
Kadangi tai patvirtintas duomenų pažeidimas, visiems Bonobo vartotojams primygtinai rekomenduojama nedelsiant pakeisti slaptažodį svetainėje.
Jei tas pats slaptažodis buvo naudojamas kitose svetainėse, taip pat pakeiskite slaptažodį į unikalų.
Naudodami unikalius slaptažodžius kiekvienoje svetainėje, kuriai turite paskyrą, neleidžiate, kad duomenų pažeidimas vienoje svetainėje paveiktų kitas jūsų naudojamas svetaines.
„BleepingComputer“ rekomenduoja naudoti slaptažodžių tvarkyklę, kad galėtumėte stebėti unikalius ir stiprius svetainių, kuriose turite paskyras, slaptažodžius.
Galiausiai, visi „Bonobo“ klientai turėtų ieškoti el. laiškų, kuriems reikalinga kredito kortelės arba prisijungimo informacija, nes dėl šio duomenų pažeidimo jie gali būti sukčiavimo sukčiai.
Ką tu manai?
