Seven-Eleven 7NOW'da 160 binden fazla müşteri verisi sızdı

Hangi veriler alındı

7NOW'da sipariş verenlerin (teslimat alıcılarının) katakana yazılmış adları 164.180 kayıtta, ad ile adres birlikteliği 4.762 kayıtta, ad, adres, telefon numarası ve posta kodu birlikteliği ise 209 kayıtta ele geçirildi. Bazı kayıtlarda sipariş tarihi, mağaza adı ve adresi ile ürün adları da alındı.

Şirket, kredi kartı bilgilerinin ve kullanıcı kimliği/parolaların sızmadığını belirtti. 7NOW normal şekilde çalışmayı sürdürüyor.

Demae-can tarafında 799 ad-soyad, 794 adres (kapı numarasına kadar) ile 33 telefon numarası ve posta kodu alındı. Ayrıca bazı mağaza adları, mağaza adresleri ve telefonları, sipariş notları, ürün adları ve ücret dökümleri de ele geçirildi.

Süreç ve alınan önlemler

CBcloud saldırıyı 1 Kasım'da tespit etti. 7NOW kullanıcı bilgilerinin de alındığı 3 Kasım'da anlaşıldı ve Seven-Eleven'a bildirildi. Şirket, Seven-Eleven'a ait kimlik doğrulama bilgilerinin veya entegrasyon ayarlarının sızdığına ya da değiştirildiğine dair bir bulguya rastlamadı.

CBcloud, saldırıyı doğruladıktan sonra saldırgan kaynaklı trafiği engelledi, kötüye kullanılan hesabı askıya aldı ve istismar edilen açığı kapattı. Önlem olarak bazı işlevler ile Japonya dışından erişim kısıtlandı.

Demae-can, CBcloud entegrasyonunu 2 Kasım'da saat 14:00'ten kısa süre sonra durdurdu; açığın giderilmesi ve trafiğin kontrolünün ardından aynı gün yaklaşık 21:00'de yeniden devreye aldı. Demae-can da kimlik doğrulama bilgilerinin veya entegrasyon ayarlarının sızdığına rastlamadı.