Tyler Cross
Shopify pistikprogramme arendaval ettevõttel Shaaral oli kriitiline andmelekke üle kaheksa kuu avastamata.
Andmed leidnud teadlaste sõnul on väga tõenäoline, et häkkerid pääsesid sellele andmelekkele vähemalt korra juurde, kuna nad leidsid andmete hulgast lunaraha, mis nõudis ligikaudu 640 dollarit Bitcoini.
Kogu leke sisaldas rohkem kui 25 GB andmeid, mida hoiti Shaara MongoDB andmebaasis, mis oli avalikult juurdepääsetav rohkem kui kaheksa kuud. Krüpteerimata andmed sisaldasid enam kui 7.6 miljonit üksiktellimust ja klientide isikuandmeid.
Igaüks võis vabalt vaadata klientide meiliaadresse, täisnimesid, telefoninumbreid, IP-aadresse, kodusid aadresse, tellimuste ja tellimuste jälgimise teavet ning osalisi makseandmeid.
Saanud aru, et Shaara ei olnud tõenäoliselt rikkumisest teadlik, võtsid Cybernewsi teadlased tegevjuhiga ühendust, teavitades neid rikkumisest ja paludes täiendavaid kommentaare. Kuigi ettevõte sulges rikkumise kohe, väitis tegevjuht, et leke ei sisaldanud tundlikke kliendiandmeid.
Leke toob esile Shopify küberjulgeolekupraktikate põhiprobleemi. Selle turvakontrollid ei suuda sageli tuvastada turvamata infrastruktuuri vigu, mistõttu paljud ettevõtted, nagu Shaara, paljastavad tundlikke kliendiandmeid.
Muude Shopify pistikprogrammide kaudu leitud andmelekkete hulka kuuluvad The Tribe Concepts, Mesmerize India, Snitch, Bliss Club, By Invite Only ja Binky Boo, millel on olnud suuri andmelekkeid. Mõnel neist ettevõtetest oli täielikult juurdepääsetav makseteave.
Kõigilt ettevõtetelt paluti täiendavaid kommentaare, kuid nad ei ole veel vastanud.
Teadlased rõhutavad, et seda probleemi ei põhjusta mitte kogenud häkkerid, kes kasutavad uusimat tehnoloogiat, vaid pigem ettevõtted, kes ei suuda täita põhilisi küberturvalisuse standardeid. Isegi põhiline krüpteerimistarkvara oleks kaitsnud kliendiandmeid lekke korral, kuna lihtsad ja juurdepääsetavad lahendused, nagu 256-bitine AES-krüptimine, pole kunagi varem murtud.
- SEO-põhise sisu ja PR-levi. Võimenduge juba täna.
- PlatoData.Network Vertikaalne generatiivne Ai. Jõustage ennast. Juurdepääs siia.
- PlatoAiStream. Web3 luure. Täiustatud teadmised. Juurdepääs siia.
- PlatoESG. Süsinik, CleanTech, Energia, Keskkond päikeseenergia, Jäätmekäitluse. Juurdepääs siia.
- PlatoTervis. Biotehnoloogia ja kliiniliste uuringute luureandmed. Juurdepääs siia.
- Allikas: https://www.safetydetectives.com/news/25gb-of-shopify-data-found-leaked/
