Et nettangrep er rettet mot Macy's sine kunder

Macy's Data Breach

2. juli mottok New Hampshire Attorney General et brev fra Macy's Inc. som avslørte at noen av forhandlerens kunder hadde blitt målrettet av et nettangrep.

Når skjedde det hele?

De berørte kundene hadde kontoer på macys.com og bloomingdales.com, og Macy’s fikk først vite om inntrengingen da uvanlig påloggingsaktivitet snublet av selskapets sikkerhetssystemer 11. juni. Etter nærmere undersøkelser ble det avslørt at en uautorisert part hadde brukt gyldig legitimasjon for å få tilgang til Macy sine kunder i omtrent halvannen måned. Brevet sier ikke hvorfor Macy's IT-stab ikke klarte å legge merke til angrepet tidligere.

Hvordan kom hackerne inn?

Macy's sikkerhetsfolk regner med at systemet ikke har blitt kompromittert. De tror at skurkene stjal brukernavnet og passordkombinasjonene andre steder, og det må sies at selv om ingen uavhengige forskere ser ut til å ha bekreftet eller avkreftet dette, er det en helt mulig teori.

Den høye gjenbruk av passord som vi ser hver dag, betyr at hackere ofte ikke trenger å gå på akkord med sikkerheten til et banknettsted for å bryte inn bankkontoer hos brukerne. I stedet kan de ganske enkelt stjele passord fra et lite, dunkelt nettsted som lagrer folks legitimasjon i ren tekst og deretter prøve dem på en rekke forskjellige nettkontoer. Angrepet kalles legitimasjonsstopping, og dessverre er det hensynsløst effektivt noen ganger.

Hva stjal hackerne?

Av en eller annen grunn ble ikke antall berørte kunder opplyst. Naturen til de utsatte dataene var imidlertid. Macy har innrømmet at hackerne først var i stand til å klare seg med:

  • navnene
  • Fysiske adresser
  • E-post adresse
  • Fødselsdato
  • Kredittkortnummer og utløpsdato

Motehandlerens varsel om dataovertredelse sier at betalingssystemet sitt ikke lagrer CVV-er eller personnummer, men som vi alle vet er det nettsteder som ikke krever CVV for å behandle betalinger.

Det ser ut til at skurkene ikke var fornøyde med det de fant. I brevet til riksadvokaten heter det at det er bevis som peker på et nytt angrep. Tilsynelatende prøvde hackerne å få tilgang til krypterte kredittkortdata fra Macy sitt eget system. Mens den er litt vag, antyder brevens ordlyd at forsøkene var mislykkede, og selskapet påpeker også at angrepet var rettet mot proprietære kort som ikke kan brukes utenfor Macy's.

Hva gjorde Macy med angrepet?

Etter å ha sett den mistenkelige påloggingsaktiviteten, satte selskapets IT-team øyeblikkelig midlertidige tiltak for å dempe risikoen, og innen 24 timer stoppet de angrepet fullstendig. Økonomiske data fra de berørte kontoer ble slettet, og kontoene i seg selv ble sperret. Akkurat nå, hvis du er berørt av angrepet, kan du ikke logge inn før du endrer passord.

Deretter tok selskapet for å skrive en ganske detaljert rapport om hva som hadde skjedd, komplett med råd om hva folk kan gjøre i tilfelle de har falt ofre for angrepet. Macy's brev oppfordrer alle berørte brukere til å sjekke kontoutskriftene regelmessig og forklarer hvordan de også kan be om årlige kredittrapporter fra de tre store kredittbyråene. Selskapet har også tilrettelagt for å gi ofre ett års verdi beskyttelse mot identitetstyveri gjennom AllClear ID gratis. Siden betalingskortdetaljer er blitt kompromittert, kan brukere gjerne kontakte utstedere og lete etter de beste måtene å beskytte seg mot uredelige betalinger.

Alt dette er selvfølgelig veldig viktig, spesielt når noe av den utsatte informasjonen kan føre til betydelige økonomiske tap. Det beste rådet etter et slikt angrep er imidlertid: ikke bruk passordene dine på nytt.

November 21, 2019
Laster ...

Cyclonis Backup Details & Terms

The Free Basic Cyclonis Backup plan gives you 2 GB of cloud storage space with full functionality! No credit card required. Need more storage space? Purchase a larger Cyclonis Backup plan today! To learn more about our policies and pricing, see Terms of Service, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.

Cyclonis Password Manager Details & Terms

FREE Trial: 30-Day One-Time Offer! No credit card required for Free Trial. Full functionality for the length of the Free Trial. (Full functionality after Free Trial requires subscription purchase.) To learn more about our policies and pricing, see EULA, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.