ShinyHunters ขโมยอีเมล Zara 197,000 รายการผ่านการละเมิดผู้ให้บริการภายนอก
การละเมิดข้อมูล Zara ที่เชื่อมโยงกับ ShinyHunters เป็นอีกครั้งที่เตือนให้รู้ว่าข้อมูลส่วนบุคคลของคุณจะปลอดภัยได้มากเพียงเท่าที่ผู้ให้บริการที่อ่อนแอที่สุดที่ผู้ค้าปลีกเคยร่วมงานด้วยจะปลอดภัย ในเหตุการณ์นี้ กลุ่มแฮกเกอร์ ShinyHunters อ้างว่าได้ขโมยอีเมลลูกค้าที่ไม่ซ้ำกันถึง 197,000 รายการ พร้อมด้วยข้อมูลที่เกี่ยวข้องกับคำสั่งซื้อจากแบรนด์แฟชั่นแห่งนี้ โดยไม่ได้บุกรุกระบบของ Zara โดยตรง แต่ใช้ประโยชน์จากผู้ให้บริการเทคโนโลยีภายนอกรายเดิมที่ชื่อว่า Anodot
บริษัทแม่ Inditex ยืนยันว่าการดำเนินงานหลักไม่ได้รับผลกระทบ แต่การระบุเช่นนั้นควรให้ความสบายใจแก่ลูกค้าได้เพียงเล็กน้อย ข้อมูลนั้นเป็นข้อมูลจริง การเปิดเผยนั้นเกิดขึ้นจริง และวิธีการที่ผู้โจมตีใช้เผยให้เห็นสิ่งสำคัญเกี่ยวกับวิธีที่การละเมิดข้อมูลในภาคค้าปลีกดำเนินการมากขึ้นเรื่อยๆ
ShinyHunters เจาะระบบ Zara ผ่านผู้ให้บริการภายนอกได้อย่างไร
ช่องทางการโจมตีในกรณีนี้คือ Anodot บริษัทวิเคราะห์ข้อมูลที่เคยร่วมงานกับ Zara มาก่อน คำสำคัญที่นี่คือ "เคย" Anodot เป็นผู้ให้บริการเดิม แต่โทเค็นการตรวจสอบสิทธิ์ที่เชื่อมโยงกับความสัมพันธ์นั้นยังคงใช้งานได้เพียงพอที่จะถูกนำไปใช้ประโยชน์
ShinyHunters ใช้โทเค็นที่ถูกเจาะระบบเหล่านั้นเพื่อเข้าถึงข้อมูลที่ควรจะไม่สามารถเข้าถึงได้เมื่อความสัมพันธ์กับผู้ให้บริการสิ้นสุดลง นี่คือปัญหาการเข้าถึงในห่วงโซ่อุปทาน และเป็นปัญหาที่ส่งผลกระทบต่อองค์กรทุกขนาด เมื่อสัญญากับผู้ให้บริการสิ้นสุดลง สิทธิ์ทางเทคนิคและข้อมูลประจำตัวที่เชื่อมต่อกับความสัมพันธ์นั้นไม่ได้หมดอายุอย่างเรียบร้อยเสมอไป ช่องว่างในกระบวนการยกเลิกสิทธิ์อาจทิ้งจุดเข้าถึงที่ยังทำงานอยู่ให้คงอยู่ในสถานะสงบนิ่ง รอให้ถูกค้นพบ
การละเมิดนี้เป็นส่วนหนึ่งของรูปแบบที่กว้างขึ้น ดังที่รายงานในบทความของเราเกี่ยวกับ Zara, Carnival และ 7-Eleven ที่ถูก ShinyHunters โจมตี กลุ่มนี้ดำเนินการรณรงค์อย่างเป็นระบบในหลายแบรนด์ระดับโลก โดยอ้างว่ามีข้อมูลรวมกันมากกว่า 9 ล้านรายการ Zara เป็นหนึ่งในเป้าหมายของความพยายามที่ดูเหมือนจะเป็นการใช้ประโยชน์จากจุดอ่อนในระบบนิเวศของผู้ให้บริการภายนอกขององค์กรอย่างเป็นระบบ
ข้อมูลอะไรถูกขโมยและใครมีความเสี่ยง
จากรายงานที่มีอยู่ ข้อมูลที่ถูกขโมยประกอบด้วยอีเมลที่ไม่ซ้ำกันประมาณ 197,000 รายการและข้อมูลที่เกี่ยวข้องกับคำสั่งซื้อ แม้ว่าจะไม่มีการยืนยันว่ารหัสผ่านหรือหมายเลขบัตรชำระเงินเป็นส่วนหนึ่งของชุดข้อมูลที่เปิดเผย แต่นั่นไม่ได้หมายความว่าลูกค้าที่ได้รับผลกระทบจะปลอดภัย
ที่อยู่อีเมลรวมกับประวัติการซื้อสร้างโปรไฟล์ที่มีประโยชน์สำหรับฟิชชิงแบบเจาะจง ผู้โจมตีสามารถสร้างข้อความที่น่าเชื่อถือซึ่งอ้างอิงคำสั่งซื้อจริง แบรนด์จริง และสถานการณ์ที่น่าเชื่อถือ ทำให้หลอกให้ผู้รับคลิกลิงก์ที่เป็นอันตรายหรือมอบข้อมูลประจำตัวเพิ่มเติมได้ง่ายขึ้นมาก
ลูกค้าที่ซื้อสินค้าจาก Zara และได้รับการสื่อสารทางการตลาดหรือการยืนยันคำสั่งซื้อไปยังอีเมลใดอีเมลหนึ่ง มีแนวโน้มสูงสุดที่จะอยู่ในชุดข้อมูลที่ถูกเปิดเผย หากคุณเคยซื้อสินค้าจาก Zara ออนไลน์ ควรสันนิษฐานว่าอีเมลของคุณอาจถูกรวมอยู่ด้วย
เหตุใดการโจมตีโทเค็นการตรวจสอบสิทธิ์ของผู้ให้บริการภายนอกจึงอันตรายเป็นพิเศษ
โทเค็นการตรวจสอบสิทธิ์คือข้อมูลประจำตัวที่ช่วยให้ระบบสามารถสื่อสารกันได้โดยไม่ต้องใช้ชื่อผู้ใช้และรหัสผ่านในทุกขั้นตอน ออกแบบมาเพื่อความสะดวกและประสิทธิภาพ แต่จะกลายเป็นความรับผิดที่ร้ายแรงเมื่อตกอยู่ในมือที่ผิด
ต่างจากรหัสผ่านที่ถูกขโมย โทเค็นที่ถูกเจาะระบบสามารถใช้งานได้อย่างเงียบๆ และมักไม่ทริกเกอร์การแจ้งเตือนการเข้าสู่ระบบมาตรฐาน มันข้ามผ่านอุปสรรคที่ทีมรักษาความปลอดภัยพึ่งพาเพื่อตรวจจับการเข้าถึงที่ไม่ได้รับอนุญาต ในกรณีนี้ โทเค็นที่เชื่อมต่อกับผู้ให้บริการเดิมทำให้ผู้โจมตีมีเส้นทางที่ Zara อาจไม่ได้ตรวจสอบอยู่อย่างแข็งขัน โดยเฉพาะเพราะความสัมพันธ์ทางธุรกิจสิ้นสุดลงแล้ว
นี่คือเหตุผลที่การยกเลิกสิทธิ์ผู้ให้บริการไม่ใช่แค่งานด้านการบริหาร แต่เป็นกระบวนการที่สำคัญด้านความปลอดภัย โทเค็น คีย์ API และสิทธิ์ทุกรายการที่มอบให้แก่บุคคลภายนอกจำเป็นต้องถูกเพิกถอนอย่างชัดเจนเมื่อความสัมพันธ์สิ้นสุดลง และบันทึกการตรวจสอบควรยืนยันว่าการเพิกถอนนั้นเกิดขึ้นแล้ว ในทางปฏิบัติ หลายองค์กรไม่ปฏิบัติตามอย่างสม่ำเสมอ และช่องว่างนั้นคือสิ่งที่กลุ่มอย่าง ShinyHunters มองหา
สิ่งนี้หมายความว่าอะไรสำหรับคุณ: วิธีปกป้องตัวเองหลังการละเมิดข้อมูลค้าปลีก
หากคุณเคยซื้อสินค้าจาก Zara หรือเพียงแค่กังวลเกี่ยวกับการเปิดเผยข้อมูลของคุณในแพลตฟอร์มค้าปลีกโดยทั่วไป มีขั้นตอนที่เป็นรูปธรรมที่ควรดำเนินการตอนนี้
ตรวจสอบเครื่องมือตรวจสอบการละเมิดข้อมูล บริการอย่าง HaveIBeenPwned ช่วยให้คุณป้อนที่อยู่อีเมลและดูว่ามันปรากฏในการละเมิดที่ทราบหรือไม่ การละเมิดของ Zara ถูกเพิ่มเข้าไปในฐานข้อมูลนั้นแล้ว คุณจึงสามารถตรวจสอบได้โดยตรง
ระวังอีเมลฟิชชิง ในสัปดาห์ที่ตามหลังการละเมิด ที่อยู่อีเมลที่ได้รับผลกระทบมักเริ่มได้รับข้อความที่มุ่งเป้าหมาย จงระมัดระวังอีเมลใดๆ ที่อ้างอิงประวัติคำสั่งซื้อ Zara ของคุณ ขอให้คุณยืนยันรายละเอียดบัญชี หรือกระตุ้นให้คุณคลิกลิงก์ แม้ว่ามันจะดูถูกต้องตามกฎหมาย
ใช้ที่อยู่อีเมลเฉพาะสำหรับบัญชีค้าปลีก หากผู้ให้บริการอีเมลของคุณรองรับนามแฝงหรือการกำหนดที่อยู่ย่อย การใช้รูปแบบเฉพาะสำหรับแต่ละผู้ค้าปลีกช่วยให้ระบุแหล่งที่มาของสแปมและความพยายามฟิชชิงในอนาคตได้ง่ายขึ้น
เปิดใช้งานการตรวจสอบสิทธิ์แบบหลายปัจจัยทุกที่ที่ทำได้ แม้ว่าที่อยู่อีเมลของคุณจะอยู่ในชุดข้อมูลที่รั่วไหลแล้ว MFA บนบัญชีของคุณทำให้ผู้โจมตีดำเนินการขั้นต่อไปได้ยากขึ้นอย่างมีนัยสำคัญ
ตรวจสอบสิทธิ์บัญชีที่ใช้งานอยู่ของคุณ หากคุณเคยใช้การเข้าสู่ระบบจากบุคคลภายนอก (เช่น การเข้าสู่เว็บไซต์ค้าปลีกด้วยบัญชี Google หรือ Apple ของคุณ) ให้ตรวจสอบว่าแอปและบริการใดมีสิทธิ์เข้าถึงและเพิกถอนสิ่งที่คุณไม่ได้ใช้งานอีกต่อไป
การละเมิดข้อมูล Zara เป็นตัวอย่างที่ชัดเจนว่าความสัมพันธ์กับผู้ให้บริการ แม้แต่ที่หมดอายุแล้ว สามารถกลายเป็นความรับผิดได้อย่างไร คุณไม่สามารถควบคุมวิธีที่ผู้ค้าปลีกจัดการกับผู้ให้บริการเดิมได้ แต่คุณสามารถลดความเสียหายที่การละเมิดก่อให้เกิดได้โดยการติดตามข้อมูลและดำเนินการอย่างจงใจสองสามขั้นตอนเพื่อเสริมความแข็งแกร่งให้กับบัญชีของคุณเอง
