Pelanggaran data MoviePass membuat nomor kartu kredit tetap terbuka

Layanan berlangganan tiket MoviePass adalah perusahaan terbaru yang mengalami pelanggaran data setelah puluhan ribu nomor kartu pelanggan dan kartu kredit pribadi dibiarkan tidak aman di server yang tidak dilindungi kata sandi.

Basis data yang terbuka ditemukan oleh peneliti keamanan SpiderSilk, Mossab Hussein, yang menemukannya di salah satu dari banyak subdomain perusahaan. Basis data itu sendiri sangat besar dan berisi lebih dari 161 juta catatan termasuk beberapa yang berkaitan dengan operasi harian layanan serta informasi pengguna yang sensitif seperti nomor kartu pelanggan MoviePass.

MoviePass mengeluarkan kartu kepada pelanggannya yang serupa dengan kartu debit normal dan dikeluarkan oleh MasterCard. Kartu-kartu ini berisi saldo kas dan perusahaan menyetor dana ke mereka yang kemudian digunakan pelanggan untuk membayar untuk menonton film.

Saat meninjau catatan yang disimpan dalam database yang terbuka, TechCrunch juga menemukan informasi mengenai nomor kartu kredit pribadi pelanggan MoviePass termasuk tanggal kedaluwarsanya serta informasi penagihan seperti nama dan alamat pos. Namun, beberapa catatan berisi nomor kartu di mana hanya empat digit terakhir yang terlihat.

Basis data terbuka

Setelah menemukan basis data yang terbuka, Hussein menghubungi kepala eksekutif MoviePass, Mitch Lowe untuk memberi tahu dia tentang masalah ini, tetapi dia tidak mendengar kabar itu. Basis data akhirnya dimatikan setelahnya TechCrunch menjangkau perusahaan.

Hussein dapat menemukan basis data MoviePass yang terpapar dengan menggunakan alat pemetaan web milik SpiderSilk yang mencari basis data yang tidak dilindungi kata sandi yang terhubung ke internet dan mengidentifikasi pemiliknya. Informasi ini kemudian diungkapkan kepada perusahaan secara pribadi, sering kali dengan imbalan hadiah bug.

Menurut perusahaan intelijen cyberthreat RiskIQ, database mungkin telah terpapar selama berbulan-bulan karena perusahaan pertama kali mendeteksi server tidak aman pada bulan Juni.

MoviePass belum secara terbuka mengakui pelanggaran tersebut dan penyimpangan keamanan ini kemungkinan tidak akan banyak membantu perusahaan karena perusahaan berjuang untuk mendapatkan lebih banyak pelanggan setelah tumbuh terlalu cepat. Perusahaan juga menghadapi pengawasan baru-baru ini setelah dilaporkan mengubah kata sandi pengguna yang menggunakan layanannya secara luas untuk mencegah mereka melihat lebih banyak film.

Melalui TechCrunch