Tarp nutekėjusių duomenų aptikta telefono numerių ir autentifikavimo kodų, taip pat klientų skrydžių informacija, keleivių pavardžių.
Tarp Lietuvoje veikiančių paveiktų įmonių įvardijamos „EuroCash1“, „Akropolis“, DEPO, IKI, „Perlas Go“, „Autoplius“, „Šypsenos akademija“, „Denticija“, „airBaltic“ ir „Porsche“.
Tyrėjų duomenimis, viešai prieinami įrašai apėmė laikotarpį nuo 2022 metų spalio iki 2026 metų rugsėjo. Duomenų bazė buvo nuolat atnaujinama, todėl nusikaltėliai galėjo perimti autentifikavimo kodus, slaptažodžio nustatymo iš naujo nuorodas bei privačią informaciją dar prieš gavėjams ją pamatant.
Baltijos šalių mastu bazėje taip pat rasta Latvijoje veikiančių „Swedbank“, „SEB“, medicinos įstaigų, populiarių internetinių parduotuvių, valstybinių organizacijų ir net Latvijos skubiosios pagalbos tarnybos numerio 112 SMS žinutės.
Nukentėjo ir Estijos „AirBaltic“ bei DEPO padaliniai. Atviroje bazėje atsidūrė jų siųstos SMS žinutės su keleivių pavardėmis, skrydžių maršrutais, telefonų numeriais, užsakymų ID ir pristatymo atnaujinimais.
„Incidentas leidžia abejoti BDAR laikymusi: įmonės privalo asmens duomenis saugoti tik tiek laiko, kiek reikia konkretiems jų tvarkymo tikslams pasiekti. Archyve aptikti atvirai prieinami 4 metų senumo duomenys kelia rimtų saugumo klausimų“, – pranešime cituojamas skaitmeninės leidybos įmonės „Mediatech“ Saugumo ir platformų inžinerijos skyriaus vadovas Voldemaras Kadys.
Ekspertai rekomenduoja gyventojams atsisakyti SMS žinutėmis siunčiamų patvirtinimo kodų ir rinktis saugesnius prisijungimo patvirtinimo būdus. Taip pat patariama nenaudoti to paties slaptažodžio visoms paskyroms bei įjungti dviejų veiksnių apsaugą (2FA).
Apie saugumo spragą bendrovė „CSCTelecom“ informuota šių metų rugsėjo 29 dieną. Spalio 27 dieną duomenų bazė buvo užverta ir šiuo metu yra neprieinama.
Naujausi komentarai