サイバー犯罪者は偽造フォームを使用してFitness Depotの顧客情報を盗みました

COVID-19のパンデミックは、多くの人々が多くの自由時間を持ち、ワークアウトしないことの言い訳が1つ少ないことを意味します。ジムは閉鎖されていますが、フィットネス機器を販売し、ロックダウン中も体調を維持できるオンラインショップがたくさんあります。サイバー犯罪者のギャングがこれを発見し、次の標的を選ぶのに問題はありませんでした。

ウェブサイトによると、Fitness Depotは20年以上ビジネスを展開しているカナダの大手スポーツ用品小売業者です。カナダ全土に数十か所にレンガとモルタルの販売店がありますが、当然のことながら、ここ数か月間、ビジネスのeコマース側に焦点が当てられてきました。残念ながら、2月から5月の間にFitness Depotのオンラインストアからフィットネス機器を購入することを決めた人々は、個人データを盗まれる可能性がありました。

Fitness Depotがセキュリティインシデントを報告

Fitness DepotのWebサイトや公式のソーシャルメディアチャネルには、小売業者がハッカーの標的になっていると思わせるようなことはありません。ただし、一部の顧客は最近、受信トレイでデータ侵害の通知を受信し始めました。これは、Fitness Depotへの攻撃が実際にはかなり深刻であることを示唆しています。

どうやら、サイバー犯罪者は2月18日に最初にFitness Depotのeコマースプラットフォームを侵害しました。彼らは、ユーザーをアップロードし、名前、メールアドレス、住所、電話番号、クレジットカードの詳細など、そこに入力されたすべての情報を収集する「誤解を招く」チェックアウトフォームにリダイレクトしました。

当初、偽のページは宅配便の顧客にのみ影響を及ぼしていましたが、4月28日、詐欺師はフォームを更新し、店頭での受け取りオプションを選択したユーザーもターゲットにし始めました。 5月22日に最終的に違反について知ったとき、Fitness DepotのITスペシャリストはオンラインショップを一時的に閉鎖し、是正措置を講じました。彼らは今、サイバー犯罪者のアクセスがカットされたことを「信じています」。

マジカートでしたか？

攻撃は古典的なマジェカートの操作のすべての特徴を備えていますが、パズルのかなりの部分が欠落しているため、それが何であったかを完全に確実に言うことは不可能です。全体として、Fitness Depotのデータ侵害通知は、かなり有益ではありません。

たとえば、侵害の影響を受けた可能性のある人の数はわかりません。また、誰かがそのWebサイトを侵害したことを知るのに3か月もかかった理由もわかりません。また、ID盗難防止サービスの代金を支払うことで被害者を助ける計画があるかどうかもわかりません。

しかし、Fitness Depotは、全体の責任は誰にあるのかを知っているようです。調査の結果、小売業者のISPがそのアカウントで「ウイルス対策ソフトウェアのアクティブ化を怠った」ことが明らかになった。通知には、オンラインショップを保護するためにどのようなウイルス対策ソフトウェアが想定されているかは記載されていません。また、数百のアイテムを数十万のユーザーに販売している小売業者が、データ漏えいに遭遇した理由についての情報はありません。そのウェブサイトは安全ではなかったと。