Hakerzy uzyskali dostęp do wszystkich użytkowników GearBest danych (Aktualizacja)
Aktualności / / December 19, 2019
Zespół badawczy odkrył poważna luka VPNMentor Bazy Sklep GearBest. Według ekspertów, system ochrony informacji o klientach nie jest wcale to, co im kazano szczegółowo w dużym raport.
Hakerzy VPNMentor, testy ochrona GearBest, łatwo uzyskali dostęp do nazwisk klientów, ich dane paszportowe, haseł, kont, adresy dostawy, e-mail, adres fizyczny, numery telefonów, listy przedmiotów zakupionych i wielu innych bardzo ważnych informacji.
Korzystając z tych danych, testerzy byli w stanie wejść w ten sam sposób, jak gdyby ich własnością i jest w wielu kont. Atakujący może następnie zmienić wszystkie informacje osobiste i, na przykład, po prostu zmieniając adres dostawy na wszystkich zamówień.
Przegraj więc zakup lub konto - mniejszym złem. Bardziej niebezpieczne, jeśli atakujący stara się korzystać z uzyskanych danych osobowych. W Rosji, ten zestaw danych jest wystarczająco, aby uzyskać dostęp do stron takich jak usługi rządowe, bankowość aplikacji, informacji na temat zdrowia, i wiele innych.
W uzupełnieniu do tych użytkowników, hakerzy osiągnęła GearBest wewnętrznego systemu zarządzania danymi oraz firma Globalegrow, posiada sklep. Ten poziom dostępu ułatwia manipulowanie danymi biznesowymi, zmieniać właściwości baz, a nawet wyłączyć serwer całkowicie.
Hakerzy VPNMentor próbował przedstawicieli kontaktu GearBest i Globalegrow, aby poinformować ich o stwierdzonych problemów. Ale w tej chwili oni nie otrzymaną odpowiedź.
aktualizować:
Przedstawiciele GearBest poinformował, że natychmiast po raport był VPNMentor wewnętrznego przeglądu rozpoczął. Okazało się, że główny bazy danych z informacjami o klientach i transakcjach są w pełni chronione przez wszystkich niezbędnych szyfrowania. Jednak niektóre z informacji poufnych są tymczasowo przechowywane w źródłach zewnętrznych, tak naprawdę to nie był chroniony.
Zewnętrzne źródła są używane do przechowywania danych GearBest celu zwiększenia wydajności serwera i zapobiec przed przeciążeniem. Każda informacja nie jest przechowywana nie dłużej niż 3 dni, a następnie automatycznie usuwane. Przed nieautoryzowanym dostępem, takie dane są chronione przez potężny firewall, ale od 1 marca 2019 roku zostały one wyłączone przez pomyłkę z jednym z pracowników.
Wszystkie zamówienia od 1 marca ponownie sprawdzić i haseł z nowo utworzonych kont wyłączona. Wszyscy użytkownicy, których może dotknąć, wysłał list wyjaśniający sytuację i warunki ponownej aktywacji konta. Przedstawiciele GearBest szczerze przeprosić za incydent i zapewnił, że będą one nadal doskonalić swój system bezpieczeństwa, bez narażania danych klienta.