Atak hakerski na Supergrosz. Oświadczenie firmy
"Działając w imieniu AIQLABS spółka z o.o. z przykrością informujemy o naruszeniu ochrony danych. Spółka padła ofiarą ataku hakerskiego. Nieuprawniona osoba/grupa osób uzyskała zdalny dostęp do części bazy danych klientów AIQLABS sp. z o.o., wykorzystując do tego stworzony przez siebie kod (program komputerowy)" - czytamy w oświadczeniu firmy Supergrosz. Przekazano, że sprawcy wykradli przynajmniej część danych i istnieje wysokie ryzyko, że ujawnią je w internecie.
"Przepraszamy za wszelkie niedogodności związane z incydentem i zapewniamy, że traktujemy tę sprawę z najwyższą powagą. Kwestia bezpieczeństwa jest dla nas priorytetem, dlatego natychmiast podjęliśmy działania mające na celu zablokowanie nieautoryzowanego dostępu do systemu i wyeliminowaliśmy źródło problemu" - czytamy w komunikacie. Firma powiadomiła o tej sprawie CSIRT KNF, CSIRT NASK oraz prezesa Urzędu Ochrony Danych Osobowych. Zapewniła też, że wkrótce roześle komunikat mailowy do wszystkich poszkodowanych osób.
Wyciek danych. "Skala może być większa"
Supergrosz wyjaśnił, że w piątek 31 października zostało wykryte naruszenie polegające na nieuprawnionym dostępie do danych osobowych klientów AIQLABS Spółka z o.o. Przedmiotem ataku był system informatyczny. Osoba, która przeprowadziła atak, uzyskała nieautoryzowany dostęp do części danych użytkowników posiadających konta klienta.
Wśród danych, które zostały pozyskane przez osobę nieuprawnioną, znajdują się m.in. adresy e-mail, imiona i nazwiska, informacje o narodowości, numery PESEL, dane dotyczące dowodu osobistego (numer, data wydania oraz data ważności), adresy zamieszkania lub pobytu oraz adresy do korespondencji, numery telefonów, informacje o pozostawaniu w związku małżeńskim, informacje o liczbie dzieci, dane dotyczące statusu zawodowego, nazwa, adres, NIP oraz telefon do pracodawcy, zadeklarowana branża, deklarowany dochód, numery rachunków bankowych, identyfikator w portalu Facebook.
"Zapewniamy, że hasła do logowania na konto były 'zahaszowane'. Haszowanie to proces kryptograficzny, który służy do ochrony haseł poprzez ich zamianę na unikalny skrót (hash), zamiast przechowywania ich w oryginalnej formie. Co ważne, na podstawie tych danych nie ma możliwości bezpośredniego zalogowania się do konta klienta ani do innych systemów" - czytamy. W przypadku osób nieposiadających obywatelstwa polskiego pozyskane dane mogą obejmować dane dokumentu uprawniającego do pobytu na terenie RP tj. numer oraz rodzaj karty pobytu wraz z datą wydania oraz ważności. "Obecnie wiemy, że dane dotyczą grupy 10 tysięcy użytkowników, potencjalnie skala wycieku może być większa" - informuje polska firma.
Konsekwencją ataku na Supergrosz może być wykorzystanie danych przez osoby nieuprawnione, by uzyskać dostęp do kont w innych serwisach lub w celu wyłudzenia kredytu w instytucjach pozabankowych, a także w celu próby wyłudzenia danych osobowych. Firma zaleca m.in. zmianę haseł, zastrzeżenie numerów PESEL oraz założenie konta w systemie informacji kredytowej i gospodarczej celem monitorowania aktywności kredytowej.
