Zdjęcie: © Vitaly Gariev / Unsplash
Źródło: unsplash.com/photos/5JvZ71VIePc
Internetowy sprzedawca odzieży Revolve poinformował amerykańskich regulatorów, że wrześniowy cyberatak dotknął 1 515 073 osoby. Firma wcześniej ujawniła sam incydent, ale nie podawała publicznie jego pełnego zasięgu. Nowa liczba pojawiła się w dokumentach przekazanych biuru prokuratora generalnego stanu Indiana.
Revolve ujawniło incydent 29 października w dokumencie złożonym w amerykańskiej Komisji Papierów Wartościowych i Giełd, SEC. W podobnym czasie firma zaczęła wysyłać zawiadomienia osobom, których dane mogły zostać objęte zdarzeniem. Wcześniejsze zgłoszenia do regulatorów w Iowa, Massachusetts, Karolinie Południowej, Teksasie i Vermont obejmowały łącznie około 197 000 osób. Informacje z Indiany wskazują jednak, że całkowity zakres był znacznie większy.
Według zawiadomień firmy nieuprawniona osoba mogła wykorzystać automatyczne środki do zebrania nazwisk i informacji kontaktowych klientów, w tym adresów korespondencyjnych. Potencjalnie dostępne mogły być także numery kart płatniczych oraz daty ich ważności. Revolve zaznaczyło, że ekspozycja dotyczyła klientów, którzy zdecydowali się przechowywać metodę płatności w swoich kontach internetowych. Oznacza to, że opisany zakres nie obejmował wszystkich osób korzystających ze sklepu, lecz użytkowników mających zapisane dane płatnicze.
Revolve nie wyjaśniło publicznie, w jaki sposób napastnik dostał się do systemów firmy. W dostępnych informacjach nie wskazano więc konkretnej luki, przejętego konta ani innego mechanizmu wykorzystanego do rozpoczęcia ataku. Brak tych szczegółów nie zmienia jednak potwierdzonego zakresu zdarzenia, czyli dostępu do części środowiska sklepu i możliwego zebrania danych klientów.
Firma zgłosiła cyberatak federalnym organom ścigania i zaangażowała zewnętrznych ekspertów do obsługi reakcji na incydent. Revolve prowadzi także proces zawiadamiania osób, których dane mogły zostać objęte naruszeniem. Do tej pory żadne ugrupowanie hakerskie nie przypisało sobie publicznie odpowiedzialności za atak. Nie ma również publicznego wyjaśnienia, jak doszło do wejścia do systemów. Najnowsze zgłoszenie regulatorom doprecyzowuje przede wszystkim liczbę poszkodowanych oraz rodzaje informacji, które mogły znaleźć się w zasięgu nieuprawnionej osoby.
Brak komentarzy. Bądź pierwszy!