En dataöverträdelse av Robert Dyas exponerade kunders betalningskortsuppgifter

Det är intressant att tänka på de många olika effekterna sociala distans har på de saker vi gör varje dag. Till exempel är det många som sitter hemma utan att göra något på grund av koronaviruspandemin, och samtidigt har de flesta fysiska butiker tvingats stänga av under avstängningsperioden. En av de många biverkningarna av allt detta är att online-shopping för DIY-produkter blomstrar. Fråga bara folk som driver webbplatsen för Robert Dias, en brittisk baserad kedja som säljer trädgårdsarbete, hushållsartiklar och DIY-varor. I mars tillkännagav Robert Dyas att det stänger alla sina 93 butiker på grund av nedstängningen men påpekade att dess onlinebutik fortsätter att fungera.

Tydligen flockade människor verkligen till Robert Dyas webbplats för e-handel. Läs igenom några av kommentarerna på kedjans Facebook-sida så ser du att många kunder klagar på försenade och ouppfyllda beställningar. På måndag använde Robert Dyas det sociala nätverket för att be om ursäkt för problemen, sa att dess anställda har blivit överväldigade av intresset i online-butiken och lovade att ökad kundservice och leveransförmåga skulle resultera i en mycket bättre köpupplevelse. Vad det inte ber om ursäkt för var dataintrånget som det led förra månaden.

Kortsjukskadeprogram träffade Robert Dyas i början av mars

DIY-butikskedjan har beslutat att inte nämna händelsen offentligt, men om dess ledningsgrupp trodde att det skulle gå obemärkt, hade de fel. Registeret hörde till attacken och rapporterade om den förra veckan efter att en läsare delade meddelandet om dataöverträdelse de hade fått. Det visade sig att det var ganska allvarligt.

Den 7 mars kompromitterade "en extern tredje part" Robert Dyas webbplats och injicerade skadlig kod på kassasidan. Under de kommande tre veckorna skrapade skadlig programvara personlig och ekonomisk information från Robert Dyas kunder tills den äntligen upptäcktes och togs bort den 30 mars. Meddelandet om överträdelse av data påpekade att inga lösenord har stulits, men som registret antydde, förmodligen är inte mycket lättnad för de drabbade kunderna.

Uppgifterna inkluderar namn, adresser, betalningskortsnummer, utgångsdatum och CVV-koder. Med andra ord har skurkarna all den information de behöver för att utföra obehöriga inköp, varför berörda kunder bör hålla ett öga på deras finansiella rapporter, och de kanske också vill tänka på att kontakta sina banker och se vad deras alternativ är.

En talesman för Robert Dyas berättade för The Register att skadlig programvara drabbade cirka 20 tusen kunder. Företaget håller på att informera om potentiella offer såväl som brottsbekämpande organisationer. Det som förblir okänt är varför det fortfarande är motvilligt att offentliggöra överträdelsen.

Online-butiker bör vara beredda på mer av samma sak

För närvarande finns det ingen information om skadlig programvara som används i denna attack är den ökända Magecart. Endast personer med tillgång till bevisen kan säga säkert, men de avgörande egenskaperna för världens farligaste e-skimmer är verkligen där.

Detta borde verkligen inte vara en överraskning. Robert Dyas är långt ifrån den enda återförsäljaren som uppmanar användarna att handla online under lockdown-perioden, varför operatörerna av Magecart och andra liknande skadefamiljfamiljer troligen kommer att vara särskilt aktiva de kommande veckorna och månaderna. E-handelswebbplatser bör ha detta i åtanke och bör vara bättre förberedda för denna typ av attack.