A Biztonsági nyomozók A kiberbiztonsági csapat jelentős adatszivárgást fedezett fel, amely a StoreHub nevű szoftvercéget érinti.
A StoreHub Malajziában található, és értékesítési pont (POS) szoftverrendszert biztosít, amelyet többnyire éttermekben és kiskereskedelmi üzletekben használnak.
A kitett adatokat a StoreHub Elasticsearch szerverén tárolták, amely jelszóvédelem vagy titkosítás nélkül nyitva maradt. A védtelen szerver potenciálisan több ezer étterem és kiskereskedelmi üzlet, valamint személyzetük és nagyjából 1 millió vásárló információit veszélyeztette.
Ki az a StoreHub?
A StoreHubot 2013-ban alapították Malajziában, és jelenleg Petaling Jayában van a székhelye. Termékeiket webhelyük szerint több mint 15,000 XNUMX vállalkozás használja, elsősorban a délkelet-ázsiai régióban.
A cég POS szoftvereket elsősorban F&B (étel és ital) vállalkozásoknak, például éttermeknek értékesít, de kiskereskedelmi üzleteknek is.
A POS-szoftver elsősorban az ügyfelekkel foglalkozó vállalkozások (éttermek, kávézók, bárok, üzletek stb.) vásárlásainak és tranzakcióinak feldolgozására és rögzítésére szolgál, valamint nyugták kiállítására és bizonyos árucikkek értékesítésének nyomon követésére – például éttermi étkezések, ill. egyedi ruhadarabok egy boltban.
A StoreHub az üzletirányítási eszközök és elemzések teljes készletét is kínálja. Ide tartozik az e-kereskedelem és az online kézbesítés, a készletkezelés, az alkalmazottak kezelése, a hűségprogramok és az ügyfélelemzés.
Ennek eredményeként a StoreHub több mint 1 millió embertől tudott adatokat gyűjteni Délkelet-Ázsiából – elsősorban a szoftverét használó vállalkozások ügyfeleitől.
Mi volt kitéve?
Kiberbiztonsági csapatunk felfedezte, hogy a Storehub rosszul konfigurálta az egyik Elasticsearch szerverüket, ami több mint 1.7 milliárd rekordot és több mint 1 terabájtnyi adatot szivárgott ki. Ez közel 1 millió ügyfelet tett közzé Malajziában és potenciálisan Délkelet-Ázsia országaiban.
A StoreHub POS-szoftvert értékesít az ügyfelekkel foglalkozó vállalkozásoknak, így a kitett adatok két kategóriába sorolhatók:
- Adatok a StoreHubot használó vállalkozások ügyfeleitől
- Adatok a StoreHubot használó vállalkozásoktól
Adatok a StoreHubot használó vállalkozások ügyfeleitől
Az ügyfelektől származó, személyes azonosításra alkalmas adatok (PII) a következők:
- Teljes nevek
- Telefonszámok
- Fizikai címek
- Email címek
- A használt eszköz típusa
A szerver ezenkívül felfedte az ügyfelekhez tartozó fizetésekkel és rendelési információkkal kapcsolatos adatokat is, felfedve a személyazonosításra alkalmas információkat, mint például:
- Tranzakció dátumai
- Rendelt tételek
- Az üzletek helyszínei
A megrendelés egyes részletei részben maszkolt hitelkártyaadatokat tettek közzé.
Adatok a StoreHubot használó vállalkozásoktól
A kiszivárgás a StoreHubot használó vállalkozásokat és azok munkatársait is érintette. A vállalkozásoktól kiszivárgott információk a következők:
- Be-/kijelentkezési idők az alkalmazottaktól
- Alkalmazottak nevei
- Üzletek nevei
- Tárolja a fizikai címeket
- Tárolja az e-mail címeket
Kiberbiztonsági csapatunk kiszivárgott hozzáférési tokeneket is észlelt, amelyekkel a rossz szereplők bejelentkezhetnek és módosíthatják a vállalkozások webhelyeit, ami további károkat okozhat. Amit etikai okokból nem tudtunk tesztelni.
Az alábbi táblázat a StoreHub adatszivárgás bontását mutatja.
A kiszivárgott rekordok száma | Több mint 1.7 milliárd |
Az érintett felhasználók száma | Kb. 1 millió |
A szivárgás mérete | Több mint 1 TB |
Szerver helye | Szingapúr |
A vállalat elhelyezkedése | Petaling Jaya, Malajzia |
Kiberbiztonsági csapatunk 12. január 2022-én fedezte fel ezt a szivárgást. Úgy tűnik, hogy a szerver tartalma legalább 2021. november vége óta nyilvánosságra került.
Kiberbiztonsági csapatunk a szivárgást észlelve az etikus hackelés szabályait követve a szervert és az adatokat érintetlenül hagyta, majd felvette a kapcsolatot a felelős céggel.
Amint felfedeztük a szivárgást, e-mailt küldtünk a StoreHubnak. Január 18-án e-mailt küldtünk nekik, és e-mailt a StoreHub technológiai igazgatójának. Január 27-ig nem kaptunk választ, ezért felvettük a kapcsolatot a malajziai CERT-vel és az Amazon Web Services-szel (a hosting cég). Mindketten azonnal válaszoltak.
A kiszivárogtatást január 28-án tudtuk közölni a malajziai CERT-vel. A malajziai CERT február 2-án további információkat kért tőlünk, de addigra a szerver biztonságban volt. Becsléseink szerint a szerver biztonságban volt a január 28. és február 2. közötti időszakban.
Adatszivárgás hatása
A lelepleződött személyazonosításra alkalmas adatok kiszolgáltatottá teszik az áldozatokat a rossz szereplők által elkövetett lopással és csalással szemben, akik a személyes adatokra rábukkannak.
Nem áll módunkban megerősíteni, hogy etikátlan hackerek fedezték-e fel ezt az adatszivárgást, de az érintett vállalkozásoknak és ügyfeleknek figyelniük kell a következő lehetséges fenyegetésekre.
Átverések és csalások
A nyilvánosságra hozott személyazonosításra alkalmas adatok kiszolgáltatottá teszik az ügyfeleket a csalási kísérletekkel szemben. Például a rossz szereplők felhívhatják az áldozatokat, és elnyerhetik a bizalmukat azáltal, hogy megerősítik a vásárlási információkat, beleértve a tranzakció árát és dátumát – vagy akár a hitelkártyaszám utolsó négy számjegyét is.
A bizalom megszerzése után a rossz szereplők további információkat szerezhettek az áldozattól, ami lehetővé tette számukra, hogy tényleges kárt okozzanak a bankjukhoz való hozzáféréssel vagy a hitelkártyaadatokkal való visszaéléssel.
Számlalopás
A kiszivárogtatás fióktokeneket tartalmaz, amelyek nagy valószínűséggel a StoreHub szervert használó vállalkozásokhoz tartoznak. A rossz szereplők felhasználhatják ezeket a tokeneket, hogy vállalkozásként vagy ügyfélként bejelentkezzenek, és esetleg módosítsák a fiókadatokat.
Ez számos módon károsíthatja az üzletet, attól függően, hogy a rossz szereplők mit választanak. Etikai okokból nem tudjuk tesztelni a kitett tokenek képességeit. Egy elméleti példa azonban az, hogy megengedhetik a rossz színészeknek, hogy módosítsák az étterem fiókjában lévő menüt, vagy teljesen eltávolítsák a vállalkozás adatait. A kitett tokenek az ügyfeleket is veszélybe sodorhatják, mivel a rossz szereplők módosíthatják a webhelyet, hogy még érzékenyebb személyazonosításra alkalmas információkat gyűjtsenek, és tovább veszélyeztethetik az áldozatokat.
Ingatlanlopás kockázata az ügyfelek számára
A kiszivárogtatásból származó részletes információk számos sebezhetőséget okoznak az ügyfelek számára. A kiszivárogtatott információk lehetővé tehetik a rossz szereplők számára, hogy nyomon kövessék és elfogják azokat a rendeléseket, amelyeket az ügyfél már kifizetett.
A szivárgás azt is jelzi, hogy egyes ügyfelek általában mikor hagyják el otthonukat. Rossz kezekben ezek az információk fizikai betörés veszélyének tehetik ki az ügyfelek tulajdonát.
Ingatlanlopás kockázata vállalkozások számára
A kiszivárogtatás hosszú listákat tartalmaz a személyzet be- és kijelentkezési idejéről, ami pontosan megmondja a rossz szereplőknek, hogy általában hány alkalmazott tartózkodik az üzletben adott időpontokban. Ha szándékukban állt fizikailag betörni és ellopni az üzletet, ez az információ segíthet a lopásban.
Adatexpozíció megelőzése
Mit tehet adatai védelméért és a kiberbűnözés kockázatának minimalizálásáért?
Íme néhány módszer, amellyel minimalizálhatja az adatokkal való érintkezés kockázatát:
- Személyes adatait csak olyan személyeknek és cégeknek adja meg, akikben megbízik.
- Csak biztonságos webhelyeket keressen fel. A biztonságos webhelyek domainnevei „https” előtaggal és/vagy zárt lakat szimbólummal kezdődnek.
- Legyen különösen óvatos, amikor a személyes adatok legfontosabb formáit (pl. társadalombiztosítási számokat, személyi azonosító számokat és személyes preferenciákat) adják meg.
- Teremt szuper erős jelszavak betűk, nagybetűk, számok és szimbólumok kombinációjával. Rendszeresen frissítse jelszavait.
- Ne használja újra a jelszavakat a szolgáltatások között. Használj Password Manager ha szükséges
- Ne kattintson az e-mailekben, SMS-ekben vagy bárhol máshol az interneten található hivatkozásokra, hacsak nem biztos abban, hogy a forrás/feladó valódi. Ha nem biztos benne, látogasson el a cég weboldalára, és keresse meg ott a linket.
- Szerkessze a közösségi média adatvédelmi beállításait. Fiókjai csak a megbízható felhasználók és barátok számára jeleníthetik meg tartalmait és személyes adatait.
- Korlátozza az elvégzett feladatokat és a nyilvános Wi-Fi-hálózathoz való csatlakozáskor megjelenített információkat. Például ne vásároljon terméket, és ne írja be hitelkártyaadatait a nyilvános WiFi-n.
- Használja az online forrásokat tanulni a kiberbűnözésről, az adatvédelem, valamint az adathalász támadások és a rosszindulatú programok elkerülése érdekében megtehető lépések.
Rólunk
SafetyDetectives.com a világ legnagyobb vírusirtó áttekintő webhelye.
A SafetyDetectives kutatólabor egy pro bono szolgáltatás, amelynek célja, hogy segítse az online közösséget a kiberfenyegetések elleni védekezésben, miközben oktatja a szervezeteket a felhasználók adatainak védelméről. Web -térképészeti projektünk átfogó célja, hogy segítse az internetet biztonságosabbá tenni minden felhasználó számára.
Korábbi jelentéseink számos nagy horderejű sebezhetőséget és adatszivárgást hoztak napvilágra, köztük több mint 200 millió felhasználót Kínai Socialarks közösségimédia-kezelő cég, valamint az at Brazíliai e-kereskedelmi integrációs platform, a Hariexpress amely több mint 1.75 milliárd rekordot szivárgott ki.
A SafetyDetectives elmúlt 3 év kiberbiztonsági jelentéseinek teljes áttekintéséhez kövesse az alábbiakat A SafetyDetectives kiberbiztonsági csapata.
- "
- &
- 000
- 2021
- 2022
- 28
- 420
- 7
- a
- Rólunk
- hozzáférés
- Hozzáférés
- Szerint
- Fiók
- szerez
- át
- cím
- címek
- érintő
- ellen
- Minden termék
- már
- amazon
- Az Amazon Web Services
- analitika
- víruskereső
- bárhol
- Ázsia
- Bank
- bárok
- lent
- között
- Billió
- milliárd
- megsértése
- Bontás
- üzleti
- vállalkozások
- hívás
- képességek
- óvatos
- okozó
- bizonyos
- fő
- Főmérnöke
- A pop-art design, négy időzóna kijelzése egyszerre és méretének arányai azok az érvek, amelyek a NeXtime Time Zones-t kiváló választássá teszik. Válassza a
- zárt
- Ruházat
- gyűjt
- kombináció
- közösség
- Companies
- vállalat
- Társaságé
- teljesen
- összefüggő
- tartalmaz
- tartalom
- tudott
- országok
- teremt
- hitel
- hitelkártya
- Jelenleg
- vevő
- Ügyfelek
- cyber
- a számítógépes bűnözés
- Kiberbiztonság
- dátum
- adatszivárgás
- adat védelem
- kézbesítés
- attól
- részletes
- részletek
- eszköz
- számjegy
- felfedezett
- kijelző
- domain
- le-
- alatt
- e-commerce
- e-kereskedelem
- nevelése
- alkalmazottak
- titkosítás
- becslés
- stb.
- etikai
- pontosan
- példa
- kitett
- megtalálása
- következik
- következő
- élelmiszer
- formák
- Alapított
- csalás
- ból ből
- Tele
- további
- egyre
- általában
- Kormány
- hackerek
- hacker
- Székhelyünk
- segít
- történelem
- tárhely
- Hogyan
- How To
- azonban
- HTTPS
- fontos
- tartalmaz
- magában foglalja a
- Beleértve
- egyéni
- egyének
- információ
- Internet
- leltár
- IT
- maga
- január
- labor
- legnagyobb
- szivárog
- Szivárgás
- Szabadság
- fény
- Valószínű
- vonalak
- LINK
- linkek
- felsorolás
- listák
- Hosszú
- Hűség
- fontos
- csinál
- Malajzia
- malware
- vezetés
- térképészet
- Média
- Partnerek
- üzenetek
- millió
- több
- a legtöbb
- többszörös
- nevek
- szám
- számok
- Ajánlatok
- Tiszt
- online
- nyitva
- érdekében
- rendelés
- szervezetek
- fizetett
- különös
- jelszavak
- kifizetések
- Emberek (People)
- időszak
- személyes
- Adathalászat
- adathalász támadások
- fizikai
- fizikailag
- darabok
- emelvény
- pont
- POS
- potenciális
- előző
- ár
- magánélet
- per
- folyamat
- Termékek
- Programok
- program
- ingatlan
- védelme
- védelem
- ad
- ellátó
- biztosít
- nyilvános
- Vásárlás
- vásárlások
- cél
- miatt
- kapott
- rekord
- nyilvántartások
- vidék
- Jelentések
- kutatás
- válasz
- felelős
- étterem
- Éttermek
- kiskereskedelem
- Kritika
- Kockázat
- szabályok
- biztonságosabb
- eladás
- értékesítés
- biztonság
- biztosított
- biztonság
- szolgáltatás
- Szolgáltatások
- üzletek
- óta
- weboldal
- SMS
- So
- Közösség
- Közösségi média
- szoftver
- néhány
- különleges
- tárolni
- árnyékolók
- rendszer
- feladatok
- csapat
- Technológia
- megmondja
- teszt
- A
- lopás
- ezer
- fenyegetések
- alkalommal
- tokenek
- szerszámok
- vágány
- Csomagkövetés
- Tranzakciók
- Bízzon
- Megbízható
- Frissítések
- us
- használ
- Felhasználók
- fajta
- áldozatok
- sérülékenységek
- Sebezhető
- módon
- háló
- webes szolgáltatások
- weboldal
- honlapok
- Mit
- míg
- WHO
- Wi-fi
- wifi
- nélkül
- világ
- lenne
- év
- A te