Good Smile Company: wyciek danych kart 2800 klientów sklepu

Japońska firma Good Smile Company poinformowała w trzecim komunikacie o włamaniu do swojego oficjalnego sklepu internetowego. Na stronie płatności kartą umieszczono złośliwy program, który mógł przechwycić dane kart nawet 2800 klientów.

Sklep jest zamknięty od 23 października. Według firmy osoba trzecia uzyskiwała nieautoryzowany dostęp między 19 a 22 października i wielokrotnie przeglądała dane użytkowników. Złośliwy kod działał na stronie płatności od 21 października, godz. 13:55, do zamknięcia serwisu 23 października o 7:00. Jego obecność wykryto dopiero 28 października.

Jakie dane mogły wyciec

Klienci, którzy w tym czasie wpisali dane karty, mogli ujawnić imię i nazwisko właściciela, pełny 16-cyfrowy numer, datę ważności i kod bezpieczeństwa. Spośród 2800 osób zamówienie opłaciło kartą 384. Pozostali to osoby, które rozpoczęły płatność bez jej dokończenia, zalogowały się i dodały produkty do koszyka, lub zmieniły kartę po rezerwacji (185 osób). Ponieważ system nie rejestruje działań użytkowników, firma nie była w stanie ich rozdzielić i skontaktowała się indywidualnie ze wszystkimi. Ryzyko dla osób, które nie przeszły do płatności, określa jako niskie.

Dodatkowo mogły wyciec ostatnie cztery cyfry i data ważności kart zapisanych w sklepie, dotyczy to maksymalnie 402 466 kart. Według spółki nie ujawniono imion właścicieli ani kodów bezpieczeństwa, a powiązane dane kont pozostały bezpieczne.

Ujawnione mogły zostać także dane zamówień złożonych 22 października między 22:20 a 23:00. Dotyczy to do 7673 osób, choć nieuprawniony dostęp potwierdzono w 202 zamówieniach. Zakres obejmuje imię i nazwisko, adres, numer telefonu, e-mail, zawartość zamówienia, kwotę i metodę płatności.

Działania firmy

Good Smile Company usunęła lukę, która umożliwiła atak (firma zaznacza, że nie chodzi o PHP), i wzmocniła zabezpieczenia. Incydent zgłoszono japońskiej komisji ochrony danych osobowych, a w kolejnych krokach informowane będą wystawcy kart i operatorzy płatności. Termin ponownego otwarcia sklepu zostanie podany później.