פרצת אפליקציה ב-BigCommerce חשפה נתוני לקוחות של Master of Malt

קמעונאית המשקאות המקוונת Master of Malt החלה להודיע ללקוחותיה לאחר שנודע כי Ribon, אפליקציית צד שלישי המחוברת לחנות ה-BigCommerce שלה, נפרצה. על פי הודעה שנשלחה ללקוחות ושהעיתון The Register ראה, הפורצים השיגו מפתח אפליקציה של BigCommerce שהיה ברשות Ribon והשתמשו בו כדי לגשת לנתוני לקוחות בין 13 ל-17 בספטמבר.

ארבעה ימים של גישה לנתוני לקוחות

לדברי Master of Malt, חברת BigCommerce היא שהודיעה לה על התקרית ואמרה כי Ribon נפרצה. בהודעה נמסר כי התוקפים השיגו מפתח אפליקציה שהיה ברשות Ribon, וממנו קיבלו גישה לנתוני הלקוחות. הקמעונאית אומרת שצוות האבטחה של BigCommerce הסיר את האפליקציה הנגועה באותו יום והבטיח שאין פגיעה מתמשכת ושאף גורם לא יכול לגשת עוד לנתוני לקוחות.

״לצערי, לתוקפים הייתה גישה לשמך, לכתובת הדוא״ל שלך, למספר הטלפון ולכתובת שלך״, כתב ללקוחות מייסד החברה, ג׳סטין פצאפט.

מה נגנב ומה לא

סיסמאות, פרטי כרטיסי אשראי ומידע תשלום אחר לא נחשפו: לפי Master of Malt הם נשמרים במערכת נפרדת שלא נפגעה בתקרית. החברה לא מסרה כמה לקוחות הושפעו. The Register פנה ל-BigCommerce בשאלות כמה סוחרים ולקוחות נפגעו, לאיזו גישה היה זכאי המפתח שנחשף, כיצד הוא נגנב והאם נפגעו אפליקציות צד שלישי נוספות, אך טרם התקבלה תשובה.

הסיכון שבאפליקציות צד שלישי

Ribon נמצאת בבעלות, בניהול ובתפעול של Be A Part Of, שאותה מתארת Master of Malt כמותג של Fastr. המקרה ממחיש סיכון מוכר במסחר אלקטרוני: הפלטפורמה עצמה יכולה להיות מאובטחת, אבל אפליקציה המותקנת עליה מחזיקה במפתחות שפותחים גישה לנתוני לקוחות. ברגע שמפתח כזה דולף, ההרשאות של האפליקציה הופכות להרשאות של התוקף.

מה מומלץ ללקוחות

Master of Malt מזהירה שהמידע שנגנב עלול לשמש לדוא״ל פישינג, לספאם ולשיחות טלפון הונאה. ״אנא היו ערניים במיוחד לשיחות טלפון, לספאם ולמתקפות פישינג שמשתמשות במידע שנגנב, והטילו ספק בכל מי שמבקש מכם ללחוץ על קישור או למסור פרטים״, אמר פצאפט. החברה מדגישה שלעולם לא תבקש סיסמאות או פרטי תשלום בדוא״ל או בטלפון, ובקשה כזו צריכה לעורר חשד, ולכן יש לפנות אליה ישירות. לדף עם עדכונים ופרטים טכניים נוספים היא הקימה עמוד נפרד.