H Gearbest άφησε τις βάσεις δεδομένων της απροστάτευτες, με αποτέλεσμα να εκτεθούν τα δεδομένα πολλών χιλιάδων πελατών της

Η ομάδα ασφαλείας vpnMentor της οποίας επικεφαλής είναι ο Noam Rotem δημοσίευσε πρόσφατα μία έκθεση σχετικά με την ασφάλεια του online καταστήματος Gearbest και τα ευρήματα της ήταν ιδιαίτερα ανησυχητικά για τους πελάτες του.

Η ομάδα ανακάλυψε ότι η κεντρική βάση δεδομένων της ιστοσελίδας καθώς και οι βάσεις δεδομένων άλλων ιστοσελίδων της Gearbest, όπως των Zaful, Rosegal και DressLily ήταν εύκολα προσβάσιμες από τρίτους και περιέχουν περισσότερα από 1,5 εκατομμύρια αρχεία. Σύμφωνα με την vpnMentor, στις προσβάσιμες πληροφορίες συμπεριλαμβάνονταν όπως αναφέραμε μηνύματα ηλεκτρονικού ταχυδρομείου, κωδικοί πρόσβασης, διευθύνσεις IP, ημερομηνίες γενεθλίων, διευθύνσεις, πληροφορίες πληρωμής και τα πλήρη ονόματα των χρηστών. Η ομάδα μάλιστα κατάφερε να συνδεθεί σε δύο λογαριασμούς χωρίς ιδιαίτερη προσπάθεια. Το ακριβές περιεχόμενο των παραγγελιών κάθε πελάτη βρισκόταν επίσης σε «κοινή θέα». Η κονσόλα διαχείρισης δεδομένων της εταιρείας Gearbest ήταν επίσης προσβάσιμη, πράγμα που σημαίνει ότι οι χάκερ θα μπορούσαν να διαχειριστούν εύκολα δεδομένα στην ιστοσελίδα, να απενεργοποιήσουν τμήματα των διακομιστών της εταιρείας ή ακόμη και να διαταράξουν τις λειτουργίες στις αποθήκες της Gearbest.

H Gearbest, σε ερώτηση του Android Police σχετικά με τους ισχυρισμούς της vpnMentor απάντησε:

«Αμέσως μόλις συνειδητοποιήσαμε το συμβάν, οι ειδικοί ασφαλείας μας ξεκίνησαν έρευνα για να επαληθεύσουν τους ισχυρισμούς του κ. Noam Rotem. Ενώ διαπιστώσαμε ότι όλες οι εγκατεστημένες βάσεις δεδομένων ή οι διακομιστές που χρησιμοποιούνται για την αποθήκευση ή την επεξεργασία των δεδομένων προστατεύονται με όλα τα απαραίτητα μέτρα κρυπτογράφησης και είναι απολύτως ασφαλείς, τρίτοι ενδέχεται να απέκτησαν πρόσβαση σε ορισμένα από τα εξωτερικά εργαλεία που χρησιμοποιούμε για την προσωρινή αποθήκευση δεδομένων και επομένως, υπάρχει το ενδεχόμενο να παραβιάστηκαν.

Η χρήση των εξωτερικών εργαλείων προορίζεται για τη βελτίωση της αποτελεσματικότητας καθώς και για την αποτροπή της υπερφόρτωσης δεδομένων, και τα δεδομένα αποθηκεύονται στα εξωτερικά εργαλεία για λιγότερο από 3 ημερολογιακές ημέρες πριν αυτομάτως καταστραφούν. Λαμβάνοντας υπόψη το ενδεχόμενο παραβίασης, προστατεύσαμε τα εργαλεία αυτά με ισχυρά τείχη προστασίας για να αποφύγουμε την πρόσβαση σε αυτά από τρίτους. Ωστόσο, η έρευνά μας αποκάλυψε ότι την 1η Μαρτίου 2019, τα τείχη προστασίας απενεργοποιήθηκαν από λάθος ενός μέλους της ομάδας ασφαλείας μας για λόγους που βρίσκονται υπό διερεύνηση. Η μη προστατευμένη κατάσταση εξέθεσε άμεσα τα εργαλεία μας στην σάρωση και στην πρόσβαση από τρίτους χωρίς περαιτέρω επαλήθευση της ταυτότητας.

Προς το παρόν, πιστεύουμε ότι έχουν επηρεαστεί μόνο οι πρόσφατα εγγεγραμμένοι πελάτες μας καθώς και οι παλαιότεροι πελάτες μας που προχώρησαν σε παραγγελίες στην Gearbest κατά την περίοδο μεταξύ της 1ης Μαρτίου 2019 μέχρι τη 15η Μαρτίου 2019, με τον συνολικό αριθμό τους να είναι περίπου 280.000. Ευτυχώς, διορθώσαμε το πρόβλημα εντός δύο ωρών μετά την ανίχνευσή του και θα ενισχύσουμε περαιτέρω τη διαχείριση της εσωτερικής μας ασφάλειας για να αποφύγουμε να επαναληφθεί κάτι παρόμοιο στο μέλλον.

Σας ζητούμε ειλικρινά συγνώμη για το συμβάν. Εκτός από αυτά που αναφέραμε παραπάνω, θα λάβουμε επειγόντως μέτρα για την απενεργοποίηση των κωδικών πρόσβασης των νέων πελατών μας για να αποφευχθεί η μη εγκεκριμένη σύνδεση στους λογαριασμούς τους από τρίτους και θα αποστείλουμε επίσης μηνύματα ηλεκτρονικού ταχυδρομείου σε όλους τους ενδιαφερόμενους πελάτες για να τους ενημερώσουμε για την κατάσταση».

Android Police