. Ohutusdetektiivid küberjulgeoleku meeskond avastas suure andmelekke, mis mõjutab tarkvarafirmat StoreHub.
StoreHub asub Malaisias ja pakub müügikoha (POS) tarkvarasüsteemi, mida kasutatakse enamasti restoranides ja jaekauplustes.
Avatud andmed salvestati StoreHubi Elasticsearchi serverisse, mis jäeti avatuks ilma paroolikaitse või krüptimiseta. Kaitsmata server seadis potentsiaalselt ohtu tuhandete restoranide ja jaekaupluste, nende töötajate ja ligikaudu 1 miljoni kliendi teabe.
Kes on StoreHub?
StoreHub asutati 2013. aastal Malaisias ja praegu asub nende peakorter Petaling Jayas. Nende toodet kasutab nende veebisaidi andmetel üle 15,000 XNUMX ettevõtte, peamiselt Kagu-Aasia piirkonnas.
Ettevõte müüb POS-tarkvara peamiselt F&B (toit ja jook) ettevõtetele, näiteks restoranidele, aga ka jaekauplustele.
POS-tarkvara kasutatakse peamiselt ostude ja tehingute töötlemiseks ja registreerimiseks klientidele suunatud ettevõtetes (restoranid, kohvikud, baarid, kauplused jne), samuti kviitungite väljastamiseks ja teatud kaupade müügi jälgimiseks – näiteks söögikordades restoranis või üksikud riidetükid poes.
StoreHub pakub ka täielikku ärijuhtimise tööriistade ja analüüside komplekti. Nende hulka kuuluvad e-kaubandus ja veebipõhine kohaletoimetamine, varude haldamine, töötajate haldamine, lojaalsusprogrammid ja kliendianalüüs.
Selle tulemusel suutis StoreHub koguda andmeid enam kui miljonilt inimeselt kogu Kagu-Aasiast – peamiselt selle tarkvara kasutavate ettevõtete klientidelt.
Mis paljastati?
Meie küberjulgeoleku meeskond avastas, et Storehub oli valesti konfigureerinud ühe nende Elasticsearchi serveritest, mille tõttu see lekkis üle 1.7 miljardi kirje ja üle 1 terabaidi andmeid. See paljastas peaaegu miljoni kliendi Malaisias ja potentsiaalselt Kagu-Aasia riikides.
StoreHub müüb POS-tarkvara klientidega seotud ettevõtetele, nii et avaldatud andmed jagunevad kahte kategooriasse.
- StoreHubi kasutavate ettevõtete klientide andmed
- StoreHubi kasutavate ettevõtete andmed
Andmed StoreHubi kasutavate ettevõtete klientidelt
Klientide paljastatud isikut tuvastav teave (PII) hõlmab järgmist:
- Täisnimed
- Telefoninumbrid
- Füüsilised aadressid
- E-posti aadressid
- Kasutatava seadme tüüp
Server avalikustas ka klientidele kuuluvate maksete ja tellimuste teabe, paljastades selliseid isikut tõendavaid andmeid nagu:
- Tehingu kuupäevad
- Tellitud esemed
- Kaupluste asukohad
Mõned tellimuse üksikasjad paljastasid osaliselt varjatud krediitkaarditeabe.
StoreHubi kasutavate ettevõtete andmed
Leke mõjutas ka StoreHubi kasutavaid ettevõtteid ja nende töötajaid. Ettevõtetelt lekkinud teave hõlmab järgmist:
- Töötajate sisse-/väljaregistreerimisajad
- Töötajate nimed
- Kaupluste nimed
- Salvestage füüsilised aadressid
- Salvestage meiliaadressid
Meie küberjulgeoleku meeskond nägi ka lekkinud juurdepääsumärke, mida halvad tegijad said kasutada ettevõtete veebisaitidele sisselogimiseks ja nende muutmiseks, mis võib põhjustada rohkem kahju. Mida me eetilistel põhjustel testida ei saanud.
Allolev tabel näitab selle StoreHubi andmelekke jaotust.
Lekkinud rekordite arv | Üle 1.7 miljardi |
Mõjutatud kasutajate arv | Ligikaudu 1 miljon |
Lekke suurus | Üle 1 TB |
Serveri asukoht | Singapur |
Ettevõtte asukoht | Petaling Jaya, Malaisia |
Meie küberjulgeoleku meeskond avastas selle lekke 12. jaanuaril 2022. Näib, et serveri sisu on avalikustatud vähemalt 2021. aasta novembri lõpust.
Lekke tuvastamisel järgis meie küberturvameeskond eetilise häkkimise reegleid, jättes serveri ja andmed puutumata ning seejärel pöördudes vastutava ettevõtte poole.
Saatsime StoreHubile meili kohe, kui lekke avastasime. 18. jaanuaril saatsime neile järelmeili ja e-kirja StoreHubi tehnoloogiajuhile. Me ei saanud 27. jaanuariks vastust, mistõttu võtsime ühendust Malaisia CERT-i ja Amazon Web Servicesiga (hostimisettevõte). Mõlemad vastasid kiiresti.
Saime lekke Malaisia CERT-ile avalikustada 28. jaanuaril. Malaisia CERT küsis meilt lisateavet 2. veebruaril, kuid server oli selleks ajaks turvatud. Meie hinnangul oli server sellel ajavahemikul 28. jaanuarist 2. veebruarini kaitstud.
Andmelekke mõju
Paljastatud isikuandmetega seotud teave jätab ohvrid haavatavaks varguste ja pettuste eest, mida põhjustavad halvad näitlejad, kes puutuvad isikuandmetega seotud üksikasjadesse.
Meil pole võimalust kinnitada, kas ebaeetilised häkkerid on selle andmelekke avastanud, kuid mõjutatud ettevõtted ja kliendid peaksid järgmiste võimalike ohtude suhtes valvel olema.
Pettused ja pettused
Paljastatud isikuandmete tuvastamine jätab kliendid pettusekatsete suhtes haavatavaks. Näiteks võivad halvad näitlejad ohvritele helistada ja võita nende usalduse, kinnitades ostuteavet, mis hõlmab tehingu hinda ja kuupäeva või isegi krediitkaardinumbri nelja viimast numbrit.
Pärast usalduse saavutamist võivad halvad näitlejad saada ohvrilt lisateavet, mis võimaldaks neil tekitada tegelikku kahju oma pangale juurdepääsu või krediitkaarditeabe kuritarvitamise kaudu.
Konto vargus
Leke sisaldab kontomärke, mis suure tõenäosusega kuuluvad StoreHubi serverit kasutavatele ettevõtetele. Halvad näitlejad võivad neid märke kasutada ettevõtte või klientidena sisselogimiseks ja potentsiaalselt konto üksikasjade muutmiseks.
See võib ettevõtet mitmel viisil kahjustada, olenevalt sellest, mida halvad tegijad teha otsustavad. Eetilistel põhjustel ei saa me paljastatud žetoonide võimalusi testida. Teoreetiline näide on aga see, et need võivad lubada halbadel näitlejatel restorani konto menüüd muuta või ettevõtte kirje täielikult maha võtta. Paljastatud märgid võivad ka kliente ohtu seada, kuna halvad tegijad võivad saiti muuta, et koguda veelgi tundlikumaid isikuandmeid ja ohvreid veelgi ohustada.
Vara varguse oht klientidele
Lekkest tulenev üksikasjalik teave tekitab klientidele palju turvaauke. Lekkes sisalduv teave võib võimaldada halbadel osalejatel jälgida ja kinni pidada tellimusi, mille eest klient on juba tasunud.
Leke näitab ka aegu, mil osa kliente üldiselt kodust lahkub. Valedes kätes võib see teave seada klientide vara füüsilise sissemurdmise ohtu.
Vara varguse oht ettevõtetele
Leke sisaldab pikki loendeid töötajate sisse- ja väljaregistreerimise kellaaegadest, mis ütleb halbadele tegijatele täpselt, kui palju töötajaid teatud kellaaegadel poes üldiselt viibib. Kui nad kavatsesid ettevõttesse füüsiliselt sisse murda ja sealt varastada, aitaks see teave varguse puhul kaasa aidata.
Andmetega kokkupuute vältimine
Mida saate teha oma andmete kaitsmiseks ja küberkuritegevuse ohu vähendamiseks?
Siin on mõned viisid, kuidas saate andmetega kokkupuute ohtu minimeerida.
- Esitage oma isikuandmeid ainult üksikisikutele ja ettevõtetele, keda usaldate.
- Külastage ainult turvalisi veebisaite. Turvalistel veebisaitidel on domeeninimed, mis algavad "https" ja/või suletud luku sümboliga.
- Olge eriti ettevaatlik, kui teil palutakse esitada kõige olulisemad isikuandmete vormid (nt sotsiaalkindlustuse numbrid, riiklikud isikutunnistused ja isiklikud eelistused).
- Looma ülitugevad paroolid kasutades tähtede, suurtähtede, numbrite ja sümbolite kombinatsiooni. Värskendage oma paroole regulaarselt.
- Ärge taaskasutage paroole teenustes. Kasuta Password Manager kui vajalik
- Ärge klõpsake linke e-kirjades, SMS-sõnumites või mujal Internetis, kui te pole täiesti kindel, et allikas/saatja on ehtne. Kui pole üldse kindel, minge ettevõtte veebisaidile ja leidke sealt link.
- Muutke oma sotsiaalmeedia privaatsusseadeid. Teie kontod peaksid kuvama teie sisu ja isikuandmeid ainult usaldusväärsetele kasutajatele ja sõpradele.
- Piirake avaliku WiFi-võrguga ühenduses tehtavaid ülesandeid ja kuvatavat teavet. Näiteks ärge ostke toodet ja sisestage oma krediitkaardi andmed avalikus WiFi-s.
- Kasutage veebiallikaid õppida küberkuritegevuse kohta, andmekaitse ja meetmed, mida saate andmepüügirünnakute ja pahavara vältimiseks võtta.
Meist
SafetyDetectives.com on maailma suurim viirusetõrje ülevaate veebisait.
SafetyDetectivesi uurimislabor on pro bono teenus, mille eesmärk on aidata veebikogukonnal end küberohtude eest kaitsta, õpetades samal ajal organisatsioone oma kasutajate andmete kaitsmise kohta. Meie veebi kaardistamise projekti üldine eesmärk on aidata muuta Internet kõigi kasutajate jaoks turvalisemaks kohaks.
Meie varasemad aruanded on toonud päevavalgele mitu kõrgetasemelist turvaauku ja andmeleket, sealhulgas umbes 200+ miljonit kasutajat. Hiina sotsiaalmeedia haldusfirma Socialarks, samuti rikkumine aadressil Brasiilia e-kaubanduse integraatori platvorm Hariexpress mis lekitas üle 1.75 miljardi rekordi.
Täieliku ülevaate SafetyDetectives küberturvalisuse aruandlusest viimase 3 aasta jooksul järgige SafetyDetectives küberjulgeoleku meeskond.
- "
- &
- 000
- 2021
- 2022
- 28
- 420
- 7
- a
- MEIST
- juurdepääs
- Ligipääs
- Vastavalt
- konto
- omandama
- üle
- aadress
- aadressid
- mõjutades
- vastu
- Materjal: BPA ja flataatide vaba plastik
- juba
- Amazon
- Amazon Web Services
- analytics
- viirusetõrje
- kuskil
- Aasia
- Pank
- baarid
- alla
- vahel
- Miljard
- miljardeid
- rikkumine
- Lagunema
- äri
- ettevõtted
- helistama
- võimeid
- ettevaatlik
- põhjustades
- kindel
- juht
- Chief Technology Officer
- Vali
- suletud
- Riided
- koguma
- kombinatsioon
- kogukond
- Ettevõtted
- ettevõte
- Ettevõtte omad
- täiesti
- seotud
- sisaldab
- sisu
- võiks
- riikides
- loob
- krediit
- krediitkaart
- Praegu
- klient
- Kliendid
- cyber
- Küberkuritegevus
- Küberturvalisus
- andmed
- andmete leke
- andmekaitse
- tarne
- Olenevalt
- üksikasjalik
- detailid
- seade
- numbrit
- avastasin
- Ekraan
- domeen
- alla
- ajal
- e-kaubandus
- pood
- haridus
- töötajad
- krüpteerimist
- hinnata
- jms
- eetiline
- täpselt
- näide
- avatud
- leidmine
- järgima
- Järel
- toit
- vormid
- Rajatud
- pettus
- Alates
- täis
- edasi
- kasumi saamine
- üldiselt
- Valitsus
- häkkerid
- häkkimine
- Peakorter
- aitama
- ajalugu
- Hosting
- Kuidas
- Kuidas
- aga
- HTTPS
- oluline
- sisaldama
- hõlmab
- Kaasa arvatud
- eraldi
- inimesed
- info
- Internet
- inventar
- IT
- ise
- Jaanuar
- labor
- suurim
- lekkima
- Lekked
- Lahkuma
- valgus
- Tõenäoliselt
- liinid
- LINK
- lingid
- loetelu
- Nimekirjad
- Pikk
- Lojaalsus
- peamine
- tegema
- Malaisia
- malware
- juhtimine
- kaardistus
- Meedia
- liikmed
- kirjad
- miljon
- rohkem
- kõige
- mitmekordne
- nimed
- number
- numbrid
- Pakkumised
- Ohvitser
- Internetis
- avatud
- et
- tellimuste
- organisatsioonid
- makstud
- eriline
- paroolid
- maksed
- Inimesed
- periood
- isiklik
- Phishing
- andmepüügirünnakud
- füüsiline
- Füüsiliselt
- tükki
- inimesele
- Punkt
- PoS
- potentsiaal
- eelmine
- hind
- privaatsus
- Pro
- protsess
- Toode
- Programmid
- projekt
- kinnisvara
- kaitsma
- kaitse
- anda
- tarnija
- annab
- avalik
- ostma
- Ostud
- eesmärk
- põhjustel
- saadud
- rekord
- andmed
- piirkond
- Aruanded
- teadustöö
- vastus
- vastutav
- restoran
- restoranid
- jaemüük
- läbi
- Oht
- eeskirjade
- ohutum
- müük
- müük
- kindlustama
- tagatud
- turvalisus
- teenus
- Teenused
- kauplused
- alates
- site
- SMS
- So
- sotsiaalmeedia
- Sotsiaalse meedia
- tarkvara
- mõned
- konkreetse
- salvestada
- kauplustes
- süsteem
- ülesanded
- meeskond
- Tehnoloogia
- ütleb
- test
- .
- vargus
- tuhandeid
- ähvardused
- korda
- märgid
- töövahendid
- jälgida
- Jälgimine
- Tehingud
- Usalda
- Usaldatud
- Värskendused
- us
- kasutama
- Kasutajad
- sort
- ohvreid
- Haavatavused
- Haavatav
- kuidas
- web
- veebiteenused
- veebisait
- veebilehed
- M
- kuigi
- WHO
- Wifi
- wifi
- ilma
- maailma
- oleks
- aastat
- Sinu