Zwrot ws. wycieku danych z Empiku. Chodzi o 25 mln użytkowników. Są nowe ustalenia
W sobotę 22 marca informowaliśmy o potencjalnie opłakanym w skutkach wycieku danych z serwerów sieci sklepów Empik. Porażająca była skala incydentu – przekonywano, że baza zawiera nawet 25 mln rekordów z danymi klientów. Przez weekend Empik razem z CERT pracowali nad wyjaśnieniem sprawy i dziś znamy już więcej szczegółów.
Wielki wyciek danych z Empiku – nowe ustalenia ws. 25 mln wyciekłych rekordów
Informacja o wycieku danych z Empiku pojawiła się na jednym cyberprzestępczych forów. Na sprzedaż wystawiona została tam baza danych 25 mln użytkowników o wielkości 47 GB. Problemem była nie tylka liczba użytkowników, których dane wyciekły, ale także zakres informacji.
Sprzedawcy danych przekonywali bowiem, że oprócz imienia i nazwiska, adresów czy numerów telefonów doszło także do wycieku danych kart płatniczych.
Pierwsze wątpliwości krótko po ujawnieniu incydentu
Ostatni aspekt wzbudził wątpliwości, bo trwałe przechowywanie na serwerach danych kart jest niezgodne z normami, z którymi zgodność deklaruje Empik. Rzecz jasna wszczęto dochodzenie, a im więcej informacji się pojawiało, tym wątpliwości były większe.
Rzecznik Empiku zwracał m.in. uwagę, że format danych w próbnym zrzucie bazy jest inny niż ten, który wykorzystuje wewnętrznie sieć. Należy przy tym pochwalić rzecznika za wzorową, proaktywną komunikację w ciągu ostatnich kilkudziesięciu godzin – o kolejnych ustaleniach byliśmy na bieżąco informowani w mediach społecznościowych. Do czego zatem doszło?
Najnowsze ustalenia uspokajają – rzekoma baza została sfałszowana
W najnowszym oświadczeniu Empik potwierdza wcześniejsze podejrzenia – wielka, 25-milionowy wyciek danych użytkowników to fałszywka. Nie doszło do włamania i pozyskania informacji z serwerów Empiku, a baza, która trafiła na sprzedaż w darknecie, została spreparowana.
Cyberprzestępcy okazali się nie złodziejami, lecz oszustami. Celem mogło być zarówno pozyskanie pieniędzy od zainteresowanych kupnem danych Polaków, jak i próba szantażu samego Empiku, by ten dokonał zakupu. W komunikacie czytamy:
Dziś możemy już z pewnością powiedzieć, że nie doszło do wycieku danych klientów z infrastruktury Empiku. Dane naszych klientów były i pozostają bezpieczne. Z tego miejsca dziękujemy zespołowi ekspertów CERT za wsparcie w całym procesie i bardzo sprawną współpracę.
Według ustaleń analityków incydentu baza powstała najpewniej wskutek kompilacji danych wyciekłych wcześniej z innych źródeł, przy czym nie były to serwery Empiku.
Bezpieczne są także hasła klientów sieci, nie jest konieczne podejmowanie kroków w celu zapewnienia dodatkowej ochrony kontom. Przypominamy jednak, że naganną praktyką jest stosowanie tego samego lub podobnego hasła na wielu stronach internetowych. Gdyby wyciek z Empiku okazał się prawdziwy, wówczas użytkownicy mogliby za jednym razem stracić wszystkie swoje konta.
W celu ochrony swoich danych osobowych przed kradzieżą tożsamości rekomenduje się także zastrzeżenie numeru PESEL. Można tego wygodnie dokonać za pomocą aplikacji mobilnej mObywatel.
