Společnost Lego Certified Stores South Africa potvrdila, že došlo k úniku údajů zákazníků poté, co útočníci zneužili zero-day zranitelnost v nástroji třetí strany pro reporting, který se používá ke správě jejího věrnostního a marketingového programu. Tento incident připomíná, že bezpečnostní postavení společnosti je jen tak silné, jako jsou dodavatelé a software, na které se v zákulisí spoléhá.

Co se stalo při úniku dat Lego Certified Stores South Africa

Podle oznámení zaslaného postiženým zákazníkům únik nepocházel ze systémů společnosti Lego, ale z databázové a reportovací platformy s názvem Metabase, kterou používala společnost provozující věrnostní a marketingový program Lego Certified Stores South Africa. Útočníci zneužili dosud neznámou, neboli „zero-day", zranitelnost v systému Metabase, aby získali neoprávněný přístup k záznamům zákazníků.

Zveřejněná data údajně zahrnovala e-mailové adresy a telefonní čísla zákazníků. Společnost Lego Certified Stores South Africa uvedla, že se nejednalo o žádné bankovní, platební ani kartové informace a že při tomto incidentu nedošlo k prozrazení žádných hesel k účtům. Toto rozlišení je důležité: i když jsou uniklé kontaktní údaje stále citlivé, absence finančních přihlašovacích údajů výrazně omezuje okamžité riziko přímého finančního podvodu.

Protože se jednalo o zero-day zranitelnost, což znamená, že o ní Metabase ani její uživatelé nevěděli, dokud nebyla aktivně zneužita, neměla společnost provozující věrnostní program předem možnost tuto chybu opravit dříve, než ji útočníci využili. Toto je běžný vzorec u narušení softwaru třetích stran: zranitelný kód se nachází v široce používaném nástroji a každá organizace, která se na tento nástroj spoléhá, je vystavena riziku ve chvíli, kdy útočníci chybu najdou a zneužijí.

Proč jsou nástroje třetích stran rostoucím slabým místem

Tento únik zapadá do širšího vzorce, který je v různých odvětvích stále častější: data zákazníků společnosti nemusejí být ukradena přímo z jejích vlastních serverů, aby se dostala do nesprávných rukou. Místo toho se útočníci stále častěji zaměřují na dodavatele softwaru, analytické platformy a reportovací nástroje, které stojí mezi podnikem a jeho informacemi o zákaznících.

Podobná situace nastala při úniku dat Ceva Logistics, kdy jediný kompromitovaný poskytovatel logistiky nakonec ovlivnil banky, maloobchodníky a další nesouvisející podniky jen proto, že sdílely infrastrukturu nebo datové kanály s napadenou společností. Incident Lego Certified Stores South Africa se řídí stejnou logikou v menším měřítku: samotný maloobchodník nebyl hacknut přímo, ale nástroj, který používal k analýze dat věrnostního programu, ano, a to stačilo k odhalení údajů zákazníků.

Pro podniky to zdůrazňuje obtížnou realitu. Prověřit zabezpečení dodavatele jednou na začátku smlouvy nestačí. Průběžné monitorování, správa záplat a koordinace reakcí na incidenty s poskytovateli třetích stran jsou nyní nezbytnou součástí ochrany údajů zákazníků, bez ohledu na to, jak bezpečná je vlastní vnitřní síť společnosti.

Co to znamená pro vás

Pokud jste zákazníkem Lego Certified Stores South Africa nebo členem jejího věrnostního a marketingového programu, praktické riziko z tohoto úniku se soustředí na to, že se vaše e-mailová adresa a mobilní číslo dostaly do rukou neoprávněné osoby. I když nedošlo k prozrazení hesel ani platebních údajů, samotné kontaktní informace mají pro podvodníky hodnotu.

Počítejte s možností nárůstu phishingových e-mailů nebo smishingových (SMS phishing) zpráv, které se odvolávají na Lego, věrnostní program nebo falešná potvrzení objednávek, jejichž cílem je přimět vás ke kliknutí na škodlivé odkazy nebo k poskytnutí dalších informací. Útočníci často používají uniklé kontaktní seznamy k vytváření zpráv, které působí důvěryhodněji, protože vědí, že máte skutečný vztah se značkou, jejíž jméno zneužívají.

Je také dobré si uvědomit, že legislativa, jako jsou zákony na ochranu osobních údajů v různých zemích, stále častěji vyžaduje, aby společnosti informovaly postižené uživatele, když dojde k úniku dat, což je důvod, proč Lego Certified Stores South Africa rozeslala přímá oznámení. Věnujte pozornost těmto oficiálním sdělením spíše než nevyžádaným následným zprávám, které tvrdí, že pocházejí od společnosti, protože podvodníci někdy zneužívají zprávy o úniku dat k rozesílání vlastních falešných e-mailů o „aktualizaci zabezpečení".

Praktická doporučení

Pokud jste obdrželi oznámení o tomto úniku nebo se domníváte, že byste mohli být postiženi, zvažte následující kroky:

  • Buďte skeptičtí k neočekávaným e-mailům nebo textovým zprávám odkazujícím na Lego, věrnostní odměny nebo ověření účtu, zejména k těm, které vás žádají o kliknutí na odkaz nebo poskytnutí osobních údajů.
  • Vyhněte se používání své zveřejněné e-mailové adresy jako odpovědi na bezpečnostní otázku nebo kontaktního místa pro obnovení účtu u jiných citlivých účtů, protože útočníci se mohou pokusit o útoky pomocí credential stuffingu s využitím uniklých kontaktních údajů v kombinaci s daty z jiných úniků.
  • Tam, kde je to možné, zapněte dvoufaktorové ověřování, i když hesla nebyla součástí tohoto konkrétního úniku, protože vícevrstvá ochrana snižuje riziko budoucích incidentů.
  • Nahlaste podezřelé zprávy přímo oficiálním kanálům zákaznické podpory Lego Certified Stores South Africa, spíše než abyste na zprávu odpovídali.

Úniky dat zahrnující software třetích stran, jako je tento incident s zero-day zranitelností v Metabase, se budou pravděpodobně objevovat i nadále, protože společnosti stále více spoléhají na externí analytické a reportovací nástroje. Ostražitost vůči neobvyklé komunikaci a dodržování správné hygieny hesel zůstávají nejúčinnější obranou jednotlivých spotřebitelů, bez ohledu na to, který dodavatel společnosti bude příště terčem útoku.