A számítógépes bűnözők hamis űrlapot használták a Fitness Depot ügyfelek információinak ellopására

A COVID-19 világjárvány azt jelenti, hogy sok embernek sok szabadideje van, és kevesebb mentség arra, hogy nem dolgoznak ki. Az edzőtermek bezártak, de rengeteg online üzlet kínál fitnesz felszerelést, és lehetővé teszi az emberek számára, hogy formájukban maradjanak a lezárás során. Egy kiberbűnözői banda észrevette ezt, és nem volt problémája a következő célpont kiválasztásával.

A Fitness Depot egy nagy kanadai sportfelszerelés-kiskereskedő, amelynek webhelye szerint több mint 20 éve működik az üzlet. Több tucat tégla és habarcs értékesítési üzlettel rendelkezik Kanadában, de érthető módon az elmúlt néhány hónapban a vállalkozás e-kereskedelmi oldalára helyezték a hangsúlyt. Sajnos azoknak az embereknek, akik február és május között úgy döntöttek, hogy fitneszfelszerelést vásárolnak a Fitness Depot online áruházából, személyes adataikat ellopták.

A Fitness Depot biztonsági eseményről számol be

A Fitness Depot webhelyén vagy a közösségi média hivatalos csatornáin semmi nem vezethet arra, hogy azt hitte, hogy a kereskedőt hackerek célozták meg. Néhány ügyfele azonban a közelmúltban kezdett kapni az adatok megsértéséről szóló értesítéseket a postaládájukban, amelyek arra utalnak, hogy a Fitness Depot elleni támadás valójában elég súlyos volt.

Nyilvánvaló, hogy a számítógépes bűnözők február 18-án először veszélyeztették a Fitness Depot e-kereskedelmi platformját. Feltöltötték és átirányították a felhasználókat egy „félrevezető” pénztári űrlapra, amelybe az összes beírt információ, a név, az e-mail és a fizikai cím, a telefonszám és a hitelkártya-adat begyűjtött.

Kezdetben a hamis oldal csak a házhozszállítás ügyfeleit érinti, ám április 28-án a bűnözők frissítették az űrlapot, és elkezdte azoknak a felhasználóknak a célzását, akik a boltban történő átvételi lehetőséget is választották. Amikor május 22-én végül tudomást szereztek a jogsértésről, a Fitness Depot informatikai szakemberei ideiglenesen bezárták az online üzletet és helyrehozó intézkedéseket tettek. Most "azt hiszik", hogy a számítógépes bűnözők hozzáférése korlátozott volt.

Magecart volt?

A támadás a klasszikus Magecart művelet minden tulajdonságát viseli, de lehetetlen abszolút bizonyosan megmondani, mi volt, mert nagyon sok darab hiányzik a puzzle-ból. Összességében a Fitness Depot adatainak megsértéséről szóló értesítés meglehetősen ingatag.

Nem tudjuk például, hogy hány embert érinthet a jogsértés. Fogalmunk sincs, miért telt el a kiskereskedő három teljes hónap alatt, hogy megtudja, hogy valaki veszélyeztette weboldalát, és nem lehetünk biztosak abban, hogy az áldozatoknak szándékozik-e segíteni azáltal, hogy fizetni fognak az identitáslopások védelme érdekében.

Úgy tűnik, hogy a Fitness Depot tudja, ki a hibás az egészért. Egy vizsgálat nyilvánvalóan kiderítette, hogy a kiskereskedő internetszolgáltatója "elhanyagolta a víruskereső szoftver aktiválását" számláján. Az értesítés nem mondja ki, hogy milyen vírusvédelmi szoftverek védik az online boltot, és nincs információ arról, hogy miért kellett adatmásolást szenvednie egy olyan üzletnek, amely száz termékeket százezrekhez szándékosan értékesített, hogy megtudja hogy webhelye nem volt biztonságos.