Een cyberaanval richt zich op de klanten Macy's

Op 2 juli ontving het kantoor van de procureur-generaal van New Hampshire een brief van Macy's Inc. waaruit bleek dat sommige klanten van de retailer het doelwit waren van een cyberaanval.

Wanneer is het allemaal gebeurd?

De getroffen klanten hadden accounts bij macys.com en bloomingdales.com, en Macy's ontdekte voor het eerst over de inbraak toen ongebruikelijke inlogactiviteiten de beveiligingssystemen van het bedrijf op 11 juni struikelden. Na verder onderzoek bleek dat een ongeautoriseerde partij geldige referenties had gebruikt om ongeveer anderhalve maand toegang te hebben tot de klanten van Macy. In de brief staat niet waarom de IT-staf van Macy de aanval niet eerder had opgemerkt.

Hoe zijn de hackers binnengekomen?

Macy's beveiligingsmensen denken dat hun systeem niet is aangetast. Ze denken dat de boeven de gebruikersnaam en wachtwoordcombinaties van elders hebben gestolen, en het moet gezegd worden dat, hoewel geen onafhankelijke onderzoekers dit lijken te hebben bevestigd of ontkend, het een perfect mogelijke theorie is.

Het ongebreidelde wachtwoordhergebruik dat we elke dag zien, betekent dat hackers vaak geen concessies hoeven te doen aan de beveiliging van een bankwebsite om in te breken op bankrekeningen van gebruikers. In plaats daarvan kunnen ze eenvoudig wachtwoorden stelen van een kleine, obscure website die de inloggegevens van mensen in platte tekst opslaat en ze vervolgens uitproberen op een aantal verschillende online accounts. De aanval wordt credential stuffing genoemd en is helaas soms meedogenloos effectief.

Wat hebben de hackers gestolen?

Om een of andere reden werd het aantal getroffen klanten niet bekendgemaakt. De aard van de blootgestelde gegevens was echter. Macy's gaf toe dat de hackers, toen ze eenmaal binnen waren, het konden maken met:

• namen
• Fysieke adressen
• E-mailadressen
• Geboortedata
• Creditcardnummers en vervaldatums

De datalek van de fashion retailer meldt dat zijn betalingssysteem geen CVV's of sofinummers opslaat, maar zoals we allemaal weten, zijn er websites die geen CVV nodig hebben om betalingen te verwerken.

Het lijkt erop dat de boeven niet tevreden waren met wat ze vonden. In de brief aan de procureur-generaal staat dat er aanwijzingen zijn die wijzen op een tweede aanval. Blijkbaar probeerden de hackers toegang te krijgen tot versleutelde creditcardgegevens van het eigen systeem van Macy. Hoewel een beetje vaag, suggereert de formulering van de brief dat de pogingen niet succesvol waren en wijst het bedrijf er ook op dat de aanval gericht was op eigen kaarten die niet buiten Macy's kunnen worden gebruikt.

Wat deed Macy's aan de aanval?

Bij het zien van de verdachte inlogactiviteit, stelde het IT-team van het bedrijf onmiddellijk tijdelijke maatregelen in om het risico te verminderen en binnen 24 uur stopten ze de aanval volledig. Financiële gegevens van de betreffende accounts zijn verwijderd en de accounts zelf zijn vergrendeld. Als u nu door de aanval wordt getroffen, kunt u zich pas aanmelden als u uw wachtwoord wijzigt.

Vervolgens ging het bedrijf over tot het schrijven van een vrij gedetailleerd rapport van wat er was gebeurd, compleet met advies over wat mensen kunnen doen als ze het slachtoffer zijn geworden van de aanval. Macy's brief spoort alle betrokken gebruikers aan om hun bankafschriften regelmatig te controleren en legt uit hoe ze ook jaarlijkse kredietrapporten kunnen aanvragen bij de drie grote kredietbureaus. Het bedrijf heeft ook geregeld om slachtoffers via AllClear ID een jaar lang gratis identiteitsdiefstalbeveiliging te bieden. Aangezien de betaalkaartgegevens zijn aangetast, kunnen gebruikers zich vrij voelen om contact op te nemen met de uitgevende instellingen en zoeken naar de beste manieren om zichzelf te beschermen tegen frauduleuze betalingen.

Dit alles is natuurlijk erg belangrijk, vooral wanneer een deel van de blootgestelde informatie tot aanzienlijke financiële verliezen kan leiden. Het beste advies na een dergelijke aanval is echter: gebruik uw wachtwoorden niet opnieuw.