ShinyHunters kradnie 197 tys. adresów e-mail Zary w wyniku naruszenia u zewnętrznego dostawcy
Naruszenie danych Zary powiązane z ShinyHunters to kolejne przypomnienie, że Twoje dane osobowe są bezpieczne tylko tak długo, jak bezpieczny jest najsłabszy dostawca, z którym kiedykolwiek współpracował sprzedawca. W tym incydencie grupa hakerska ShinyHunters twierdziła, że ukradła 197 000 unikalnych adresów e-mail klientów wraz z danymi dotyczącymi zamówień od marki modowej — nie poprzez bezpośrednie włamanie do systemów samej Zary, lecz przez wykorzystanie luki u byłego zewnętrznego dostawcy technologii o nazwie Anodot.
Spółka matka Inditex potwierdziła, że podstawowa działalność nie została zakłócona, jednak takie sformułowanie powinno dawać klientom ograniczone poczucie spokoju. Dane były prawdziwe, ujawnienie było prawdziwe, a metoda zastosowana przez atakujących ujawnia coś istotnego na temat tego, jak coraz częściej dochodzi do naruszeń w sektorze detalicznym.
Jak ShinyHunters naruszył bezpieczeństwo Zary za pośrednictwem zewnętrznego dostawcy
Wektorem ataku w tym przypadku była firma Anodot, zajmująca się analityką danych, która wcześniej współpracowała z Zarą. Kluczowe słowo to „wcześniej". Anodot był najwyraźniej byłym dostawcą, a mimo to tokeny uwierzytelniające powiązane z tą relacją były nadal wystarczająco aktywne, by można je było wykorzystać.
ShinyHunters użył tych przejętych tokenów, aby uzyskać dostęp do danych, które po zakończeniu relacji z dostawcą powinny były być niedostępne. Jest to problem z dostępem w łańcuchu dostaw i dotyczy organizacji każdej wielkości. Gdy umowa z dostawcą wygasa, uprawnienia techniczne i dane uwierzytelniające powiązane z tą relacją nie zawsze wygasają w sposób czysty. Luki w procesach offboardingu mogą pozostawiać aktywne punkty dostępu w stanie uśpienia, czekając na ich odkrycie.
To naruszenie wpisuje się w szerszy wzorzec. Jak opisano w naszym artykule na temat Zary, Carnival i 7-Eleven, które wszystkie padły ofiarą ShinyHunters, grupa prowadzi skoordynowaną kampanię wymierzoną w wiele globalnych marek, rzekomo pretendując do ponad 9 milionów rekordów łącznie. Zara była jednym z celów w tym, co wydaje się być systematycznym wysiłkiem na rzecz wykorzystywania słabych punktów w ekosystemach dostawców przedsiębiorstw.
Jakie dane zostały skradzione i kto jest zagrożony
Zgodnie z dostępnymi doniesieniami skradzione dane obejmują około 197 000 unikalnych adresów e-mail oraz informacje związane z zamówieniami. Chociaż nie potwierdzono, że hasła ani numery kart płatniczych były częścią ujawnionego zbioru danych, nie oznacza to, że dotknięci klienci są bezpieczni.
Adresy e-mail w połączeniu z historią zakupów tworzą profil przydatny do ukierunkowanego phishingu. Atakujący mogą tworzyć przekonujące wiadomości odwołujące się do prawdziwych zamówień, prawdziwych marek i wiarygodnych scenariuszy, co znacznie ułatwia nakłonienie odbiorców do kliknięcia złośliwych linków lub podania dodatkowych danych uwierzytelniających.
Klienci, którzy robili zakupy w Zarze i otrzymywali komunikaty marketingowe lub potwierdzenia zamówień na konkretny adres e-mail, z największym prawdopodobieństwem znaleźli się w ujawnionym zbiorze danych. Jeśli kiedykolwiek dokonałeś zakupu w Zarze online, warto założyć, że Twój adres e-mail mógł zostać uwzględniony.
Dlaczego przejęcie tokenów uwierzytelniających zewnętrznych dostawców jest szczególnie niebezpieczne
Tokeny uwierzytelniające to dane uwierzytelniające, które umożliwiają systemom komunikowanie się ze sobą bez konieczności podawania nazwy użytkownika i hasła przy każdym kroku. Zostały zaprojektowane z myślą o wygodzie i wydajności, ale stają się poważnym zagrożeniem, gdy trafią w niepowołane ręce.
W odróżnieniu od skradzionego hasła, przejęty token może być używany w sposób niezauważalny i często nie wywołuje standardowych alertów dotyczących logowania. Omija tarcia, na których polegają zespoły ds. bezpieczeństwa w celu wykrywania nieautoryzowanego dostępu. W tym przypadku token powiązany z byłym dostawcą dał atakującym ścieżkę dostępu, której Zara mogła nie monitorować aktywnie — właśnie dlatego, że relacja biznesowa dobiegła końca.
Właśnie dlatego offboarding dostawców to nie tylko zadanie administracyjne. Jest to proces krytyczny dla bezpieczeństwa. Każdy token, klucz API i uprawnienie przyznane podmiotowi trzeciemu musi zostać wyraźnie cofnięte po zakończeniu relacji, a dzienniki audytu powinny potwierdzać, że cofnięcie nastąpiło. W praktyce wiele organizacji nie przestrzega tego konsekwentnie, a właśnie ta luka jest tym, czego szukają grupy takie jak ShinyHunters.
Co to oznacza dla Ciebie: jak chronić się po naruszeniu danych w sektorze detalicznym
Jeśli robiłeś zakupy w Zarze lub po prostu martwisz się o swoje narażenie na platformach detalicznych bardziej ogólnie, istnieje kilka konkretnych kroków wartych podjęcia już teraz.
Sprawdź narzędzia do monitorowania naruszeń. Serwisy takie jak HaveIBeenPwned pozwalają wpisać adres e-mail i sprawdzić, czy pojawił się w znanych naruszeniach. Naruszenie Zary zostało już dodane do tej bazy danych, więc możesz to sprawdzić bezpośrednio.
Uważaj na wiadomości phishingowe. W tygodniach następujących po naruszeniu dotknięte adresy e-mail często zaczynają otrzymywać ukierunkowane wiadomości. Bądź sceptyczny wobec każdej wiadomości e-mail odwołującej się do historii zamówień w Zarze, proszącej o potwierdzenie danych konta lub zachęcającej do kliknięcia linku — nawet jeśli wygląda na autentyczną.
Używaj unikalnych adresów e-mail dla kont w sklepach detalicznych. Jeśli Twój dostawca poczty e-mail obsługuje aliasy lub adresowanie z podadresami, używanie wariantu specyficznego dla każdego sprzedawcy ułatwia identyfikację źródła przyszłego spamu i prób phishingu.
Włącz uwierzytelnianie wieloskładnikowe wszędzie tam, gdzie to możliwe. Nawet jeśli Twój adres e-mail trafił teraz do ujawnionego zbioru danych, MFA na Twoich kontach znacznie utrudnia atakującym wykonanie kolejnego kroku.
Przejrzyj aktywne uprawnienia konta. Jeśli kiedykolwiek korzystałeś z logowania przez podmiot trzeci (np. logowania do witryny sklepu detalicznego za pomocą konta Google lub Apple), sprawdź, które aplikacje i usługi mają dostęp, i cofnij dostęp tym, z których już nie korzystasz.
Naruszenie danych Zary jest wyraźną ilustracją tego, jak relacje z dostawcami — nawet te wygasłe — mogą stać się zobowiązaniem. Nie możesz kontrolować tego, jak sprzedawca zarządza swoimi byłymi dostawcami, ale możesz ograniczyć szkody spowodowane naruszeniem, pozostając na bieżąco i podejmując kilka przemyślanych kroków w celu wzmocnienia własnych kont.
