Hakerzy pobrali dane użytkowników szwajcarskiego magazynu

Magazyn internetowy Republik poinformował w czwartek o kradzieży danych wszystkich użytkowników. Napastnicy pobrali między innymi adresy e-mail, nazwiska oraz część dodatkowych danych. Informacje o kartach kredytowych nie znalazły się wśród skradzionych danych.

Wyciekły dane abonentów i odbiorców newslettera

Atakujący wykorzystali lukę bezpieczeństwa w bazie danych magazynu. Pobrali dane aktywnych abonentów, osób zapisanych na newsletter oraz byłych abonentów.

W podstawowych zestawach znalazły się adresy e-mail i nazwiska. Jeżeli użytkownik wcześniej podał takie informacje, baza zawierała także numer telefonu, rok urodzenia i płeć.

Oznacza to, że wśród osób objętych atakiem są również ludzie, którzy nigdy nie mieli abonamentu i jedynie zapisali się na newsletter. Republik nazywa swoich abonentów wydawcami.

Pobrano także fragmenty pozostałych danych

Napastnicy sięgnęli próbnie do wszystkich innych części bazy. Z każdego obszaru pobrali pierwsze 2000 wpisów, między innymi adresy pocztowe, informacje o płatnościach i dane dotyczące abonamentów.

W tych fragmentach znajdowały się także komentarze w dialogach, głosy i wybory w spółdzielni magazynu oraz odpowiedzi udzielane w ankietach. Atakujący mieli pełny dostęp do tych danych. Republik nie ma oznak, że ten dostęp został wykorzystany, ale nie może tego wykluczyć.

Luka była znana od 6 sierpnia

Magazyn przyznał, że o luce wiedział od 6 sierpnia, lecz zbyt późno podjął działania zabezpieczające. Republik uznał to za własny błąd i przeprosił użytkowników.

Luka została już zamknięta, a sprawę zgłoszono Federalnemu Inspektorowi Ochrony Danych i Informacji Publicznej. Sprawcy pozostają nieustaleni. Wskazówki prowadzą do zautomatyzowanej, szeroko zakrojonej fali ataków, a magazyn nie zakłada, że został wybrany jako konkretny cel.

Najciekawsze wydaje mi się to, że zakres ryzyka obejmuje także osoby bez abonamentu, które mogły traktować newsletter jako zwykłą usługę informacyjną. Nadal pozostaje niewiadomą, czy ktoś wykorzystał pobrane fragmenty dodatkowych danych. Za kilka tygodni istotna będzie informacja, czy pojawiły się ślady takiego wykorzystania.

- Paweł

Źródło: 20min.ch