Серьезная утечка личных и платежных данных покупателей магазина Gearbest (Обновлено: ответ магазина)

 

Оригинал статьи от 16.03.2019: Gearbest — это один из всемирно известных интернет-магазинов, специализирующийся в основной на продаже китайских товаров. Многие из наших читателей пользуются им для приобретения Android смартфонов, планшетов и прочих товаров. И если вы недавно что-либо покупали здесь с помощью банковской карты, вам стоит задуматься о её замене.

 

Команда VPNMentor, следящая за безопасностью в Сети и возглавляемая Ноамом Ротемом опубликовала отчет о нарушении безопасности Gearbest.

 

В этом отчете сообщается о том, что вся информация из основной базы данных магазина, а также баз данных его дочерних сайтов (включая Zaful, Rosegal и DressLily), которые содержат более 1,5 миллионов записей, свободно доступна (без авторизации).

 

В свободном доступе оказалась такая информация, как электронная почта, пароли учетных записей, IP-адреса, сведения о дате рождения, почтовые адреса, платежные данные и полные имена покупателей.

 

С помощью этой информации членам VPNMentor удалось свободно войти в две учетных записи клиентов Gearbest и получить сведения о заказах. Последнее может оказаться очень неприятным для тех, кто покупал в этом магазине товары интимного характера.

 

Выяснилось также, что консоль управления Gearbest была тоже доступна для злоумышленников, что давало им возможность легко манипулировать информацией на сайте, отключать разделы серверов компании и даже управлять операциями на складах Gearbest.

 

Таким образом, всем покупателям Gearbest стоит задуматься, как минимум, о смене пароля учетной записи и замене платежных карт, использовавшихся для совершения в нем покупок, а как максимум — о том, чтобы полностью отказаться от услуг этого магазина.

 

источник 

 

Добавлено 19.03.2019:

 

К нам на электронную почту пришло письмо с просьбой опубликовать заявление Gearbest по поводу сложившейся ситуации, размещенное компанией в своем блоге.

 

Вот как оно выглядит (цитата):

 

«15 марта 2019 года наша команда по защите данных обнаружила, что хакер по имени Ноам Ротем опубликовал на сайте www.vpnmentor.com отчет о том, что базы данных Gearbest с личными данными клиентов и данными о транзакциях (далее — «Данные») не защищены должным образом и могут быть скомпроментированы. Так же было проведено исследование по реакции СМИ о сложившейся ситуации.

 

В тот же день, наши эксперты по безопасности запустили расследование по обвинениям господина Ноама Ротема, в результате которого было выявлено, что ряд внешних инструментов для временного хранения данных мог быть доступен для третьих лиц и мог быть скомпрометирован.

 

Одновременно с этим основная часть данных защищена всеми необходимыми мерами безопасности, включая многоуровневое шифрование. В связи с этим клиенты Gearbest могут спокойно продолжать покупки в нашем интернет-магазине и активно участвовать в текущей распродаже.

 

Данные инструменты предназначены для повышения эффективности и снижения нагрузки на основную серверную часть ресурса. В связи с назначением, данные хранилища используются не более 3 календарных дней, после чего автоматически уничтожаются.

 

При чинами возможного нарушения безопасности является снятие стандартной защиты временных внешних хранилищ одним из сотрудников службы безопасности, состоявшееся 1 марта 2019 года, что дало возможность сканирования данных и доступа к ним без дальнейшей аутентификации. Причины и факты произошедшего устанавливаются.

 

На данный момент установлено, что в результате нарушения безопасности могла быть нарушена конфеденциальность данных новых аккаунтов (зарегистрированных клиентов) и данные о заказах постоянных клиентов в том случае, если в период с 1 марта 2019 года по 15 марта 2019 года была проведена регистрация аккаунта или покупка в интернет-магазине. В общей сложности, в незащищенном доступе оказались данные приблизительно 280 000 человек.

 

Нарушение было устранено в течение 2 часов сразу после обнаружения.

 

Учитывая возможные нарушения безопасности данных, была проведена дополнительная работа по усилению степени комплексной сетевой защиты во избежание несанкционированного доступа, в том числе при попытках вредоносного сканирования со стороны третьих лиц.

 

В связи с произошедшим, будут предприняты срочные меры для деактивации паролей новых зарегистрированных клиентов во избежание незаконного доступа к учетным записям. Всем пострадавшим клиентам будут направлены письма с необходимыми инструкциями и обновлением данных по ситуации.

 

Команда Gearbest проведет дополнительную работу над безопасностью персональных данных и сделает все возможное, чтобы создать безопасную и надежную среду для покупок для наших дорогих клиентов.»

 

---

Похожие материалы:

Хакеры добавили в число своих инструментов для взлома Переводчик Google

Firefox Send. Бесплатный, простой и безопасный сервис для обмена файлами в Сети

Google Play Защита будет предупреждать пользователей при установке приложений, оптимизированных для старых версий Android

Новые приложения для Android. Intra защитит ваш смартфон или планшет от манипуляций с DNS и откроет доступ к заблокированным таким способом сайтам и сервисам