Atak hakerski na polskie sex-shopy. Wyciekły dane klientów

"W ostatnich godzinach otrzymaliśmy kilkadziesiąt zgłoszeń tego typu. Wszyscy zgłaszający, poza jedną osobą, potwierdzili, że byli klientami i że zacytowany produkt się zgadza. Niektórym te wiadomości wpadły do spamu" - podaje niebezpiecznik.pl.

"Biorąc pod uwagę, że masowa wysyłka e-maili zapewne była generowana w oparciu o parsowanie dumpu SQL/CSV, nie dziwi nas to, że niektórzy otrzymają wiadomość z produktem, którego nie kupowali. To niestety nie zmienia faktu, że włamywacz wykradł ich dane, choć daje nadzieję, że jak już baza zostanie upubliczniona, to przy ich nazwisku stać będą 'łagodniejsze' produkty. Albo pikantniejsze" - czytamy.

Zgodnie z treścią maila od sprawcy wycieki danych objęły sklepy: Sensu, Sekrecik, eRozkosz i Kraina Doznań. 

Jak podaje niebezpiecznik.pl, "atakujący rozesłał wiadomość przy użyciu adresów e-mail należących do różnych sklepów, które są hostowane na przywoływanych przez niego platformach, tj. m.in. Selly i RedCart: - kontakt@colwayshop.pl, - sklep@bsd.sklep.pl, - sklep@kathay.com.pl, - news@dystrykt.pl, - sklep@studex.pl, - newsletter@margobizuteria.eu, - sklep@best-accessories.pl.".

"To sugeruje, że albo nie wszystkie sklepy zostały zaktualizowane albo luka, którą wykorzystał do pozyskania danych, wciąż jest niezałatana i do sklepów korzystających z RedCart/Selly można uzyskać nieautoryzowany dostęp, a być może i dane klientów" - czytamy.

Niebezpiecznik.pl ostrzega przed poważnymi konsekwencjami wycieku dla ofiar. "Przypomnijmy, że po wycieku danych z zagranicznego serwisu 'randkowego' AshleyMadison, niektórzy z użytkowników musieli uciec ze swojego kraju. Były też próby samobójcze" - zwraca uwagę redakcja.

"Jeśli nie zadbałeś o prywatność podczas zakupu, to teraz niewiele już możesz zrobić. Na pewno warto skasować konto w sklepie, żeby kolejni włamywacze nie pozyskali Twoich danych" - zaleca portal.

Portal zwraca uwagę, że w przypadku zapłaty okupu nie możemy mieć pewności, że wykradzione dane posiada tylko jedna osoba i nie otrzymamy kolejnej próby szantażu.

"Dlatego na przyszłość sugerujemy zakupy przy użyciu tymczasowych adresów e-mail i do paczkomatu (nie tylko w sex-shopach). Zazwyczaj nie trzeba na takiej ścieżce podawać swojego numeru telefonu, bo wszystko spływa na e-maila, kod do paczkomatu też. A gdyby podanie numeru było konieczne, to można zawsze podać tymczasowy numer komórkowy. Jest wiele aplikacji, które generują takie numery i jeszcze więcej innych aplikacji i technik, które pozwalają bardziej zwiększyć naszą prywatność w internecie" - czytamy.

Niebezpiczenik.pl przytoczył pełną treść wiadomości, którą otrzymał jeden z czytelników serwisu:

Rozległe wycieki danych z AtomStore, Sote, RedCart, Selly w tym sklepów internetowych sensu[.]pl, sekrecik[.]pl, erozkosz[.]pl, kraina-doznan[.]pl są skutkiem rażącego niedbalstwa, ignorancji i niskiej jakości kodu programistycznego platform ecommerce. Od kilku miesięcy o wyciekach kodów źródłowych oraz danych można przeczytać w sieci. Wymienione sklepy internetowe i platformy ecommerce wiedzą o wyciekach, nie były zainterestowane współpracą. Dotychczas żadne dane nie zostały przeze mnie opublikowane i zamierzam to zmienić.

Przykład wycieku danych to Państwa zamówienie o ID [NUMER] złożone 2024-04-29 08:01:22 na erozkosz[.]pl Kod produktu | Nazwa 4049369015108 | Satisfyer Pro Penguin Next Generation – bezdotykowy masażer łechtaczki

Posiadam dane teleadresowe podane podczas składania zamówienia.

Proszę wpłacić równowartość 500 zł do pierwszego października 2024 roku na adres [ADRES PORTFELA] B i t c o i n a można nabyć anonimowo za gotówkę w lokalnym kantorze walut wirtualnych. Zrealizowanie płatności to usunięcie wszystkich Państwa danych przed publikacją. Wszystkie zamówienia niepłacących klientów zostaną opublikowane w formacie CSV, tak aby każdy zainteresowany miał przystępny dostęp do danych. Wiadomości mail z możliwością zapłaty i ochrony swoich danych otrzymali klienci składający zamówienia bezpośrednio na sklepach po pierwszym stycznia 2020 roku.