Jak informuje Super-Pharm, 21 października wykryto potencjalny wyciek części danych klientów sklepu internetowego popularnej sieci drogerii. "W wyniku naruszenia osoba nieuprawniona pobrała z naszej bazy dane klientów obejmujące imię i nazwisko, adres e-mail oraz hash hasła do konta, a w przypadku niektórych klientów także datę urodzenia lub informacje o płci" - czytamy w komunikacie wysłanym do klientów Super-Pharm.
W bazie danych, do której uzyskał dostęp atakujący, znajdowały się również dane dotyczące składanych zamówień/rezerwacji, np. adres dostawy czy numer telefonu oraz informacje związane z kontem w serwisie internetowym. Nie ma dowodów na pobranie tych danych przez osoby nieautoryzowane.
- tłumaczy sieć.
Jednocześnie Super-Pharm zaznacza, że hasła logowania do serwisu, które również mogły trafić w ręce hakerów znajdowały się w zahaszowanej formie. Haszowanie to proces kryptograficzny, który służy do ochrony haseł przez ich zamianę na unikalny skrót (hash), zamiast przechowywania ich w oryginalnej formie. Sieć podjęła już kroki mające na celu minimalizację skutków ataku, usunęła lukę w systemie, zgłosiła ten incydent do odpowiednich organów (UODO i CERT Polska), a także przeprowadziła szczegółowy skan bezpieczeństwa mający na celu identyfikację przyczyn naruszenia oraz wzmocnienie środków ochronnych.
Podkreślamy, że naruszenie nie dotyczy danych dotyczących uczestnictwa w Klubie Super-Pharm ani danych logowania do aplikacji mobilnej Super-Pharm.
- zaznacza Super-Pharm.
Atak na Super-Pharm. Co grozi klientom sieci?
Choć hasła klientów Super-Pharm znajdowały się w zaszyfrowanej formie, to hakerzy mogą podjąć próbę złamania. Jeśli macie konto w Super-Pharm i wykorzystywaliście to samo hasło do logowania w innych serwisach (co nie jest zalecane), to powinniście natychmiast dokonać jego zmiany.
Dysponując naszym adresem e-mail i/lub telefonem cyberprzestępcy mogą również podjąć próby ataków phishingowych i smishingowych. To popularne metody oszustw, które polegają na podszywaniu się pod znaną osobę, firmę czy też instytucję. Celem przestępców jest zdobycie zaufania potencjalnej ofiary i zmuszenie jej np. do podania danych osobowych, hasła do konta lub numeru karty kredytowej.
Ponadto nieuprawniony dostęp do danych znajdujących się w bazie (innych niż pobrane przez atakującego) takie jak np. szczegóły zamówień/rezerwacji internetowych, może prowadzić do dalszych potencjalnych konsekwencji dla Państwa prywatności, takich jak ryzyko ujawnienia danych, wykorzystanie prywatnych informacji związanych z zamówieniem czy inne szkody wizerunkowe.
- ostrzega we wiadomości Super-Pharm. Jednocześnie sieć rekomenduje swoim klientom:
- Dokładne sprawdzanie nadawców wiadomości kierowanych do Państwa.
- Zachowanie szczególnej ostrożności w przypadku otrzymania z nieznanych źródeł podejrzanych wiadomości e-mail, zwłaszcza tych zawierających linki lub prośby o podanie dodatkowych danych.
- Unikanie podawania swoich danych osobowych w odpowiedzi na podejrzane wiadomości (np. e-mail).
- Nieklikanie w linki i załączniki w wiadomościach pochodzących od nieznanych nadawców.
- Monitorowanie swoich kont online pod kątem nieautoryzowanych działań.
- W razie zauważenia podejrzanych aktywności niezwłoczne zgłoszenie incydentu do odpowiednich organów (Policja, Urząd Ochrony Danych Osobowych).
Hakerzy uderzyli ze zdwojoną siłą. Wyciek goni wyciek
W ostatnich latach mamy niestety do czynienia z rosnącą liczbą wycieków zawierających takie informacje, jak numery kart kredytowych, adresy czy numery PESEL. Pod koniec stycznia 2024 r. informowaliśmy o odkryciu gigantycznej bazy danych zawierających aż 26 mld rekordów, które trafiły do sieci. Badacze z Security Discovery i CyberNews, którzy natrafili na ślad tej bazy, zgodnie twierdzą, że może to być największy tego typu wyciek w historii. I marnym pocieszeniem jest fakt, że - jak wyjaśniają eksperci - odkryty zbiór zawiera głównie informacje z wcześniejszych naruszeń.
Wcześniej, bo w maju ub. r. doszło do innego dużego wycieku, który tym razem dotknął przede wszystkim użytkowników z Polski. Wówczas to w sieci Tor na jednym z forów pojawił się plik zawierający miliony rekordów z loginami i hasłami m.in. do serwisów Facebook, Allegro, gov.pl, Onet Poczta oraz banków mBank i ING.
W odpowiedzi Ministerstwo Cyfryzacji stworzyło stronę bezpiecznedane.gov.pl, na której można sprawdzić, czy nasze loginy i hasła znalazły się w wycieku. Jedyne, co trzeba zrobić to zalogować się tam przez Profil Zaufany, a następnie wpisać login lub e-mail, z których korzystaliśmy do logowania się w serwisach jednej z firm, z których wykradziono poufne informacje. Możemy też sprawdzić, czy w przeszłości padliśmy ofiarą jednego z globalnych wycieków danych. Tu z pomocą przychodzi serwis haveibeenpwned.com, za stworzenie którego odpowiada Troy Hunt, znany ekspert ds. bezpieczeństwa oraz były pracownik Microsoftu.
Wystarczy wpisać w wyszukiwarce nasz adres e-mail, a haveIBeenPwned wygeneruje listę serwisów, z których mogły wyciec nasze dane. Co więcej, w tym tygodniu udostępniono też funkcję wyszukiwania po numerze telefonu (podajemy go w formacie +48 XXX XXX XXX).
