06.03.2021

Gearbest хранит все данные клиентов в открытом виде

Gearbest рассылает товары по всему миру, и владеет складами в разных странах, включая Евросоюз, где действует регламент по защите персональных данных GDPR. Компаниям, которые нарушают установленные этим регламентом нормы, грозит большой штраф — 4% от годовой выручки.

Gearbest

Хакер Ноам Ротем и возглавляемая им группа vpnMentor обнаружили серьёзнейшие уязвимости в китайском интернет-магазине Gearbest. Им удалось получить доступ к личной информации 1,5 млн клиентов: их ФИО, даты рождения, адреса электронной почты, пароли в открытом виде, номера паспортов, IP-адреса, почтовые адреса и номера банковских карт.

Исследователи смогли зайти в несколько учётных записей, сменить пароль, узнать историю заказов, а также увидеть накопленные бонусные баллы и личные данные. Полученной информации может быть достаточно для того, чтобы зайти в банковские кабинеты взломанных пользователей или оформить замену SIM-карт через оператора.

TechCrunch считает, что эта уязвимость создаёт угрозу жителям стран, где ограничены гражданские свободы, добрачные отношения и ЛГБТ-связи. Дело в том, что Gearbest торгует в том числе интимными товарами, а поскольку в магазине содержится подробная информация об оформленных заказах, утечка может привести к преследованию покупателей со стороны властей и контролируемых ими активистов. Представители Gearbest не отреагировали на уведомление о публикации и не ответили на запрос TechCrunch.

Специалисты vpnMentor также получили доступ к Kafka — внутренней системе управления данными компании Globalegrow, которой принадлежит Gearbest и несколько других интернет-магазинов, в том числе Zaful, Rosegal и DressLily. С помощью Kafka можно манипулировать базами данными и отключать сервера магазинов, что приведёт к перебоям приёма заказов и отправки товаров.

Хакеры взломали более миллиона компьютеров ASUS и контролировали их с 2018 года

«Лаборатории Касперского» раскрыла данные о хакерской атаке, которой подверглись более миллиона компьютеров и ноутбуков компании ASUS по всему миру. В течение нескольких месяцев неизвестные хакеры контролировали сервера тайваньского производителя.

Злоумышленникам удалось модифицировать утилиту для загрузки и установки обновлений Asus Live Update, а затем подписать измененное ПО официальными сертификатами безопасности и распространить «апдейт» на все компьютеры, где она установлена. В результате в период с июня по ноябрь 2018 года хакеры смогли внедрить бэкдор более чем в миллион компьютеров Asus из разных точек мира.

При этом целью массового взлома были всего 600 машин с определенными MAC- и IP-адресами. Из-за того, что исходные (но взломанные) файлы размещались на официальных серверах ASUS, атака осталась незаметной как для пользователей, так и для отдела безопасности компании.

«Лаборатория» сообщила представителям ASUS о своей находке в январе 2019-го, а затем целый месяц помогала исправить проблемы — программа Live Update версии 3.6.8 несет в себе исправление уязвимости. Сам производитель решил умолчать о случившемся, поэтому разработчики известного антивируса рассказали об атаке самостоятельно.

Spread the love

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *