ShinyHunters varastaa 197 000 Zaran sähköpostiosoitetta kolmannen osapuolen tietomurron kautta
Zaran tietomurto, joka on yhdistetty ShinyHuntersiin, muistuttaa jälleen kerran siitä, että henkilökohtainen tietosi on vain niin turvassa kuin heikoin toimittaja, jonka kanssa vähittäiskauppias on koskaan työskennellyt. Tässä tapauksessa hakkerointiryhmä ShinyHunters väitti varastaneensa 197 000 asiakkaan yksilöllistä sähköpostiosoitetta sekä tilauskohtaista tietoa muotibrändiltä — ei murtautumalla suoraan Zaran omiin järjestelmiin, vaan hyödyntämällä entistä kolmannen osapuolen teknologiantarjoajaa nimeltä Anodot.
Emoyhtiö Inditex vahvisti, että ydintoiminnot eivät häiriintyneet, mutta tämä muotoilu tarjoaa asiakkaille vain vähän lohtua. Data oli todellista, altistuminen oli todellista, ja hyökkääjien käyttämä menetelmä paljastaa jotain tärkeää siitä, miten vähittäiskauppaan kohdistuvat tietomurrot yhä useammin toimivat.
Kuinka ShinyHunters murtautui Zaraan kolmannen osapuolen tarjoajan kautta
Tässä tapauksessa hyökkäysvektori oli Anodot, data-analytiikkayritys, joka oli aiemmin työskennellyt Zaran kanssa. Avainsana tässä on "aiemmin." Anodot oli ilmeisesti entinen toimittaja, mutta kyseiseen suhteeseen liittyvät todennustunnukset olivat edelleen riittävän voimassa hyödynnettäviksi.
ShinyHunters käytti näitä vaarannettuja tunnuksia päästäkseen käsiksi dataan, jonka olisi pitänyt olla ulottumattomissa toimittajasuhteen päätyttyä. Kyseessä on toimitusketjun pääsyongelma, joka koskee kaiken kokoisia organisaatioita. Kun toimittajasopimus päättyy, kyseiseen suhteeseen liittyvät tekniset oikeudet ja tunnistetiedot eivät aina vanhene siististi. Puutteet käyttöoikeuksien poistoprosesseissa voivat jättää aktiivisia pääsypisteitä lepotilaan, odottamaan löytymistään.
Tämä tietomurto on osa laajempaa kaavaa. Kuten raportointiamme Zaran, Carnivalin ja 7-Elevenin joutumisesta ShinyHuntersin hyökkäyksen kohteeksi käsittelevässä artikkelissa kerrotaan, ryhmä on toteuttanut koordinoitua kampanjaa useita globaaleja brändejä vastaan ja väittää saaneensa haltuunsa yhteensä yli 9 miljoonaa tietuetta. Zara oli yksi kohde siinä, mikä vaikuttaa olevan järjestelmällinen pyrkimys hyödyntää yritysten toimittajaekosysteemien heikkoja kohtia.
Mitä tietoja varastettiin ja kuka on vaarassa
Saatavilla olevien raporttien mukaan varastettu data sisältää noin 197 000 yksilöllistä sähköpostiosoitetta sekä tilauskohtaisia tietoja. Vaikka salasanoja tai maksukorttinumeroita ei ole vahvistettu osaksi altistunutta aineistoa, se ei tarkoita, että vaikutuksen kohteena olevat asiakkaat ovat turvassa.
Sähköpostiosoitteet yhdistettynä ostohistoriaan muodostavat profiilin, joka on hyödyllinen kohdennetussa tietojenkalastelussä. Hyökkääjät voivat laatia vakuuttavia viestejä, joissa viitataan todellisiin tilauksiin, todellisiin brändeihin ja uskottaviin tilanteisiin, mikä tekee vastaanottajien huijaamisesta paljon helpompaa — joko klikkaamaan haitallisia linkkejä tai luovuttamaan lisää tunnistetietoja.
Asiakkaat, jotka ovat asioineet Zarassa ja vastaanottaneet markkinointiviestejä tai tilausvahvistuksia tiettyyn sähköpostiosoitteeseen, kuuluvat todennäköisimmin altistuneeseen aineistoon. Jos olet koskaan ostanut Zarasta verkossa, on syytä olettaa, että sähköpostiosoitteesi on saattanut sisältyä mukaan.
Miksi kolmannen osapuolen todennustunnusten vaarantuminen on erityisen vaarallista
Todennustunnukset ovat tunnistetietoja, joiden avulla järjestelmät voivat kommunikoida keskenään ilman, että joka vaiheessa tarvitaan käyttäjätunnusta ja salasanaa. Ne on suunniteltu käytännöllisyyttä ja tehokkuutta varten, mutta niistä tulee vakava vastuu, kun ne päätyvät vääriin käsiin.
Toisin kuin varastettu salasana, vaarannettu tunniste voidaan käyttää hiljaisesti, eikä se usein laukaise tavanomaisia kirjautumishälytyksiä. Se ohittaa sen kitkan, johon tietoturvatiimit luottavat luvattoman pääsyn havaitsemisessa. Tässä tapauksessa entiseen toimittajaan liitetty tunniste antoi hyökkääjille reitin, jota Zara ei ehkä ollut aktiivisesti valvomassa — juuri siksi, että liikesuhde oli päättynyt.
Tämän vuoksi toimittajien käyttöoikeuksien poistaminen ei ole pelkästään hallinnollinen tehtävä. Se on tietoturvakriittinen prosessi. Jokainen tunniste, API-avain ja kolmannelle osapuolelle myönnetty käyttöoikeus on nimenomaisesti peruutettava suhteen päättyessä, ja auditointilokien tulisi vahvistaa, että peruutus on tapahtunut. Käytännössä monet organisaatiot eivät noudata tätä johdonmukaisesti, ja juuri tuo aukko on se, mitä ShinyHuntersin kaltaiset ryhmät etsivät.
Mitä tämä tarkoittaa sinulle: Kuinka suojata itsesi vähittäiskaupan tietomurron jälkeen
Jos olet asioinut Zarassa tai olet yksinkertaisesti huolissasi altistumisestasi vähittäiskauppa-alustoilla laajemmin, on olemassa konkreettisia toimenpiteitä, jotka kannattaa tehdä nyt.
Tarkista tietomurtojen seurantatyökalut. Palvelut kuten HaveIBeenPwned mahdollistavat sähköpostiosoitteesi syöttämisen ja sen tarkistamisen, onko se esiintynyt tunnetuissa tietomurroissa. Zaran tietomurto on jo lisätty kyseiseen tietokantaan, joten voit tarkistaa asian suoraan.
Varo tietojenkalastelusähköposteja. Tietomurtoa seuraavina viikkoina vaikutuksen kohteena olevat sähköpostiosoitteet alkavat usein vastaanottaa kohdennettuja viestejä. Suhtaudu epäileväisesti kaikkiin sähköposteihin, joissa viitataan Zara-tilaushistoriaasi, pyydetään vahvistamaan tilitietoja tai kehotetaan klikkaamaan linkkiä — vaikka viesti näyttäisikin lailliselta.
Käytä yksilöllisiä sähköpostiosoitteita vähittäiskauppatileille. Jos sähköpostipalveluntarjoajasi tukee aliaksia tai alasosoitteita, kullekin vähittäiskauppiaalle ominaisen muunnelman käyttäminen helpottaa tulevan roskapostin ja tietojenkalasteluyritysten lähteen tunnistamista.
Ota käyttöön monivaiheinen tunnistautuminen aina kun mahdollista. Vaikka sähköpostiosoitteesi on nyt vuodetussa tietoaineistossa, MFA-tunnistautuminen tileillesi vaikeuttaa merkittävästi hyökkääjien seuraavia toimia.
Tarkista aktiiviset tiliöintisi. Jos olet koskaan käyttänyt kolmannen osapuolen kirjautumista (kuten kirjautumista vähittäiskaupan sivustolle Google- tai Apple-tilillasi), tarkista, millä sovelluksilla ja palveluilla on pääsyoikeus, ja peruuta kaikki, mitä et enää käytä.
Zaran tietomurto on selkeä esimerkki siitä, kuinka toimittajasuhteet — jopa päättyneet — voivat muodostua vastuiksi. Et voi hallita sitä, kuinka vähittäiskauppias hallinnoi entisiä toimittajiaan, mutta voit vähentää tietomurron aiheuttamia vahinkoja pysymällä ajan tasalla ja ryhtymällä muutamiin harkittuihin toimiin oman tilisi vahvistamiseksi.
