Kerítésen innen
Vásárolt a Kütyübazártól? Akkor kiszivároghattak a személyes adatai – Frissítve!
Jelenleg is megvásárolhatóak a darkneten azok a magyar felhasználói adatok, amelyekről a feltöltőjük azt állítja, hogy a Kütyübazár nevű webáruháztól kerültek ki még júliusban – tudta meg a Telex az adatokba belefutó Fodor Dénestől, a White Hat kiberbiztonsági cég kutatójától. A kiszivárgott adatok között az érintett felhasználók neve, emailcíme és lakcíme található.
Aki fizet, azé a cucc
A történteknek utánakeresve látható, hogy a szivárgás tényéről még júliusban beszámolt az Emailsec szakmai blogja, de ott egymillió érintett felhasználóról írtak. Fodor szerint valójában egymillió rendelés adatai kerültek ki, így ha valaki az érintett időszakban többször is rendelt a bolttól, akkor többször is szerepelnek az adatai a listán.
A teljes kiszivárgott adatbázis nem publikus, mert a feltöltője pénzért árulja, így csak az ízelítőként publikált mintából lehet következtetni, ebben 6,67 százalékos az ismétlődő bejegyzések aránya.
Ez alapján a szakértő arra tippel, hogy a teljes adathalmazban nagyjából 800–850 ezer egyedi rekord lehet, azaz nagyjából ennyi felhasználó lehet érintett – írta a portál.
A adatcsomag valódi adatokat tartalmaz
Az Emailsec a bejegyzésében azt írja, hogy összevetette a mintában szereplő adatokat korábbi adatszivárgásokból származó adatokkal, és több egyezést is találtak, illetve a Facebookon is sikerült beazonosítaniuk egyes érintett felhasználókat. Ezek alapján arra jutottak, hogy a megvételre kínált adatcsomag valódi adatokat tartalmaz.
Mivel a kiszivárgott adatok között jelszavak nem szerepelnek, az érintett fiókokhoz közvetlenül nem férhettek hozzá a hekkerek.
A személyes adatokat azonban így is felhasználhatják adathalász támadások célzásához kiberbűnözők, hogy így jussanak további érzékeny adatokhoz.
„A KütyüBazár 2010-ben indult útjára, azóta pedig hatalmas utat járt be. Mára egy hatalmas raktárból szolgálunk ki benneteket, vevőket, naponta több száz – olykor ezer – csomagot feladva. […] Büszkék vagyunk rá, hogy 2020-ban immár hetedik alkalommal nyertük meg az Ország Boltja versenyt Ajándékozás kategóriában. […] Küldetésünk, hogy elérhető közelségbe hozzuk számotokra a nagyvilág legújabb, legérdekesebb és legizgalmasabb Kütyüit”
– olvasható az oldalon.
<<< Olvassa cikkeinket a Facebookon és a Google hírei között is! >>>
Kérdéseikkel a Telex megkereste a Kütyübazárt. Azt kérdezték a cégtől, hogy
- meg tudják-e erősíteni, hogy adatszivárgás történt náluk;
- ha igen, az hogyan történt, milyen módon kerültek ki az adatok; tettek-e valamilyen lépést a szivárgáshoz vezető hiba vagy mulasztás orvosolására;
- pontosan hány ügyfelük érintett;
- értesítették-e az érintetteket; illetve
- tettek-e bejelentést az incidensről a Nemzeti Adatvédelmi és Információszabadság Hatóságnál.
Cikkük megjelenéséig nem érkezett válasz.
Frissítés!
Jakab László, a Kütyübatár ügyvezetője az alábbi közleményt juttatta el portálunkhoz:
„A különleges ajándékötleteiről ismert KütyüBazár is felkerült a kiberbűnözők térképére, de már új rendszert üzemeltet a webáruház. A gyanú szerint egyik munkatársunk jelszavát illetéktelen személy bűncselekmény útján kifürkészte, a megszerzett adatokkal belépve pedig néhány vásárlónk nevét, e-mail-címét és szállítási címét jogosulatlanul megszerezhette. A betörés során bankkártyaadatokhoz és jelszavakhoz nem férhettek hozzá. Az ügyről tudomást szerezve haladéktalanul rendőrségi feljelentést tettünk és bejelentéssel éltünk a Nemzeti Adatvédelmi Hatóság felé is. Az adatszivárgásban érintett felhasználókat augusztusban elektronikus levélben értesítést küldtünk. A sajtóhírekkel ellentétben a támadás során nem több mint 800 ezer rekord került ki, mivel a megszerzett adatok túlnyomó többsége tesztelési célú vagy robot feliratkozó által generált, hamis adat volt. A valós felhasználók száma a visszaéléssel érintett adatbázis-töredékben a rendőrségi nyomozás jelen szakasza szerint 221 fő lehet. Korábban webáruházunkat kiberbiztonsági szakértő felülvizsgálta és kritikus hibát nem fedezett fel, de az ilyen jellegű bűncselekmények ellen a védekezés rendkívül nehéz. Idén az évi mintegy 300 ezer rendelést feldolgozó KütyüBazár továbbfejlesztette webboltja biztonságtechnológiai eszközeit, ennek keretében a teljes nyílt forráskódú üzemeltető rendszert lecseréltük. Nagyon köszönjük a hatóságok munkáját, akikkel mindenben együttműködünk, hogy a felhasználóinkat és minket ért támadás felelősét minél előbb kézre tudják keríteni.”
