Slickwraps telah diretas, data pelanggan dikompromikan (Pembaruan: Pemberitahuan email)

Slickwraps adalah salah satu penjual kulit vinil yang paling terkenal untuk komputer, ponsel, tablet, konsol game, dan kategori produk lainnya. Jika Anda pernah membeli sesuatu dari Slickwraps (tanpa PayPal atau layanan serupa lainnya), sekarang saatnya untuk mengganti kartu kredit Anda, karena perusahaan telah mengalami beberapa pelanggaran data yang berdampak pada semua data pelanggan.

Pelanggaran dimulai ketika peneliti keamanan 'Lynx' menemukan cara untuk mengunggah file ke direktori root server Slickwraps (versi yang diarsipkan), melalui formulir unggah gambar kulit khusus di situs web perusahaan. Dari sana ia mengklaim memiliki akses ke detail admin, penagihan dan alamat pengiriman pelanggan, nomor telepon, kredensial API untuk dukungan pelanggan dan akun media sosial, dan data lainnya. Peneliti 'mengungkapkan' peretasan ke Slickwraps – dan dengan 'mengungkapkan,' Maksud saya dia mengatakan "Hei @ SlickWraps, Anda gagal memeriksa getaran" dalam tweet publik (cadangan), dan kemudian diposting tangkapan layar dari pesan dukungan pelanggan (cadangan) . Saya tidak berpikir itu cara pengungkapan kerentanan bekerja.

Tweet publik membuat peretas lain melihat kerentanan (cadangan), yang berarti ada beberapa salinan dari semua basis data yang dilanggar. Banyak pelanggan Slickwraps telah menerima email dari setidaknya satu grup, yang menggunakan email kontak Slickwraps sendiri untuk memberi tahu pelanggan bahwa mereka telah diretas.

Nah itu yikes tua besar dari @ SlickWraps pic.twitter.com/28SOEMIBZ9

– Toneman (@Toneman) 21 Februari 2020

Jangan menjangkau. pic.twitter.com/A1udbHwwZ0

– Cesar Torres (@ towerz650) 21 Februari 2020

Serius !? @ SlickWraps pic.twitter.com/pkfhUlFZUB

– Gillerz (@mattgillerz) 21 Februari 2020

@ SlickWraps Saya melakukan pemesanan 4 tahun yang lalu dan saya baru saja menerima email yang mengatakan bahwa data saya telah disusupi, termasuk alamat email saya, alamat saya sebelumnya dan nomor telepon saya.

Tolong direspon!!

– David (@dpfjobs) 21 Februari 2020

Tampaknya belum ada laporan tentang penggunaan berbahaya dari database Slickwraps, tetapi selalu sangat sulit untuk mengatakannya bagaimana informasi pembayaran Anda diretas ketika pembelian acak muncul pada tagihan Anda. Tidak jelas apakah informasi pembayaran terperinci dapat diakses oleh peretas ⁠— posting blog asli hanya menyebutkan bahwa "kredensial API untuk Pembayaran PayPal Pro" sudah tersedia – tetapi masuk akal bahwa seseorang dengan niat jahat dapat melakukan lebih banyak penggalian dan menemukan data itu.

Pada saat penerbitan, database belum diunggah ke Have I Been Pwned, sebuah situs web di mana siapa pun dapat memeriksa apakah mereka telah dipengaruhi oleh pelanggaran basis data. Slickwraps masih belum menerbitkan tanggapan resmi apa pun di saluran media sosial apa pun. Kami telah menghubungi perusahaan untuk pernyataan, dan kami akan memperbarui pos ini jika kami mendengar kabar.

Slickwraps telah mengirimkan email kepada pelanggan yang menjelaskan bahwa kerentanannya tidak membocorkan "kata sandi atau data keuangan pribadi," tetapi memang menyertakan nama, email, alamat pengiriman, dan data lainnya. Inilah pesan lengkapnya:

Slickwraps Pengguna,

Tidak ada yang kami nilai lebih tinggi daripada kepercayaan dari pengguna kami. Faktanya, seluruh model bisnis kita bergantung pada membangun kepercayaan jangka panjang dengan pelanggan yang terus datang kembali.

Kami menjangkau Anda karena kami telah melakukan kesalahan dengan melanggar kepercayaan itu. Pada 22 Februari, kami menemukan informasi di beberapa basis data non-produksi kami yang keliru dipublikasikan melalui eksploitasi. Selama waktu ini, basis data diakses oleh pihak yang tidak berwenang.

Informasi tidak mengandung kata sandi atau data keuangan pribadi.

Informasi itu memang berisi nama, email pengguna, alamat Jika Anda pernah memeriksa sebagai "TAMU" tidak ada informasi Anda yang terdiri.

Jika Anda adalah pengguna bersama kami sebelum kami mengamankan informasi ini pada 22 Februari, kami menyesal menulis email ini sebagai pemberitahuan bahwa beberapa informasi Anda termasuk dalam database ini. Jika Anda menerima email ini dan bergabung dengan kami setelah 22 Februari, kami menulis email ini karena Anda menggunakan produk kami dan layak untuk mengetahui bagaimana data Anda ditangani.

Setelah mengetahui tentang data pengguna publik, kami segera mengambil tindakan untuk mengamankannya dengan menutup semua basis data yang dipertanyakan.

Sebagai tindakan keamanan tambahan, kami menyarankan Anda mengatur ulang kata sandi akun Slickwraps Anda. Sekali lagi, tidak ada kata sandi yang dikompromikan, tetapi kami merekomendasikan hal ini sebagai tindakan keamanan standar. Akhirnya, harap waspada terhadap segala upaya phishing.

Kami sangat menyesal atas kekhilafan ini. Kami berjanji untuk belajar dari kesalahan ini dan akan membuat perbaikan ke depan. Ini akan termasuk meningkatkan proses keamanan kami, meningkatkan komunikasi pedoman keamanan untuk semua karyawan Slickwraps, dan menjadikan lebih banyak fitur keamanan yang diminta pengguna menjadikan prioritas utama kami dalam beberapa bulan mendatang. Kami juga bermitra dengan perusahaan keamanan cyber pihak ketiga untuk mengaudit dan meningkatkan protokol keamanan kami.

Detail lebih lanjut akan mengikuti dan kami menghargai kesabaran Anda selama proses ini.

Hormat kami,
Jonathan Endicott
CEO @ Slickwraps

Pernyataan itu mengatakan Slickwraps menjadi sadar akan kerentanan pada "22 Februari," meskipun perusahaan itu berbasis di Amerika Serikat, di mana saat ini merupakan yang ke-21. Tidak jelas apakah itu salah ketik, atau apakah pesan itu ditulis oleh seseorang di Slickwraps yang bekerja di zona waktu lain.

Jika Anda tidak yakin apakah Anda terpengaruh, basis data sekarang telah diunggah ke Have I Been Pwned, sehingga Anda dapat memasukkan alamat email Anda di situs itu untuk memeriksanya. Layanan mengatakan bahwa pelanggaran tersebut mempengaruhi lebih dari 857.000 akun.

Selain itu, banyak pesan pengungkapan yang dikirim oleh kelompok peretas menggunakan (dilindungi email) telah mendarat di kotak spam, jadi periksa juga spam Anda.