W całej Polsce aż huczy. Klienci Empiku na celowniku oszustów. Jest oświadczenie sieci
W sobotę 22 marca użytkowników sieci zelektryzowała informacja o prawdopodobnym wycieku danych wrażliwych. Tym razem internetowi oszuści ogłosili, że weszli w posiadanie informacji na temat klientów salonów Empik. Mogło dojść do potencjalnie niebezpiecznej sytuacji, gdyż w grę wchodziła naprawdę potężna baza. Rzecznik prasowy spółki wydał już komunikat w tej sprawie.
Wyciek danych prawie 25 milionów użytkowników Empiku
Empik jest jedną z największych w Polsce sieci sprzedaży książek, wydawnictw muzycznych, filmów, gier, programów, akcesoriów komputerowych, czy prasy. Salony marki można znaleźć w wielu miejscach w kraju, głównie w dużych galeriach handlowych. Sieć oferuje nie tylko zróżnicowany asortyment, ale również program lojalnościowy, z którego można korzystać za pośrednictwem aplikacji mobilnej.
W sobotę, 22 marca pojawiła się informacja o potencjalnym wycieku danych nawet 25 milionów klientów sieci. O podejrzeniach przestępstwa można było przeczytać na profilu Zaufana Trzecia Strona oraz Sekurak na platformie X.
Na forum dla przestępców pojawiła się oferta sprzedaży danych Empiku — prawie 25 milionów użytkowników. Sprzedający opublikował próbkę danych, która wygląda wiarygodnie. Niestety nie wygląda to na fałszywkę/oszustwo — można przeczytać w ostrzegawczym wpisie.
Potencjalny wyciek mógł dotyczyć ogromnej bazy danych wrażliwych, klienci Empiku wyrazili więc zaniepokojenie. Rzecznik prasowy spółki przekazał, że sprawa zostanie dokładnie zbadana. Znane są już pierwsze ustalenia.
Trwa weryfikacja podejrzeń
Oszust oferował sprzedaż bazy danych o wielkości ponad 47 GB, dotyczącej prawie 25 milionów użytkowników z informacjami takimi jak: adresy email, imię i nazwisko, adres domowy, numer telefonu, listę zamawianych artykułów, numery kont i kart czy historię transakcji. Niepokój użytkowników był więc zrozumiały. Natomiast do sytuacji odniósł się serwis technologiczny Komputer Świat, który zwraca uwagę, że sam Empik może nie mieć dostępu do aż tak dużej bazy.
Patrząc na ofertę hakerów, warto zauważyć, że chodzi tu pewnie nie tylko o samą bazę danych klientów, ale też informacje dotyczące pojedynczych transakcji. Tylko w taki sposób można wytłumaczyć aż tak dużą liczbę przejętych wpisów, bo Empik na pewno nie ma bazy z danymi 25 mln unikalnych użytkowników — pisze Komputer Świat.
Po tym jak pojawiły się pierwsze doniesienia o oszustwie, pojawiła się odpowiedź Empiku.
Mamy oczywiście świadomość tej sytuacji. Ochrona danych naszych klientów jest bezsprzecznie naszym priorytetem, dlatego natychmiast zareagowaliśmy i od godzin porannych weryfikujemy podejrzenia wystąpienia incydentu bezpieczeństwa. Współpracujemy również w tej sprawie z CERT — informuje Rzecznik Empiku.
Nadal trwa weryfikacja powyższych podejrzeń, jednak, aby uciąć pojawiające się spekulacje, które mogą wywoływać popłoch u klientów, sieć podzieliła się już pierwszymi ustaleniami. Jest trochę dobrych wiadomości, jednak dobrze podjąć kilka działań profilaktycznych.
ZOBACZ TEŻ: Partia Mentzena zaatakowana przez hakerów. Wyciekły m.in. numery PESEL zwolenników
Sprawa jest wyjaśniana, ale lepiej się zabezpieczyć
Z pierwszych ustaleń wynika, że ewentualny wyciek może pochodzić od zewnętrznego systemu lub partnera. W rzekomej bazie nie ma haseł użytkowników ani numerów kart płatniczych.
Nadal trwa weryfikacja wspomnianych wcześniej podejrzeń, jednak już teraz możemy powiedzieć, że zdecydowana większość z udostępnionych w próbce w rzekomym incydencie danych nie występuje w systemach Empiku. Co więcej, format danych kontaktowych z udostępnionej próbki nie jest spójny z formatem obowiązującym w wykorzystywanych przez nas wewnętrznych systemach. Ponadto znaczną część opublikowanej próbki danych stanowi lista produktów z katalogu http://Empik.com – są to informacje powszechnie dostępne, niezwiązane w żaden sposób z historią zakupów czy konkretnymi użytkownikami. Możemy również potwierdzić, że wśród nich nie znalazły się: hasła, hashe haseł, prawdziwa historia zakupów czy dane płatnicze. Jednocześnie pragniemy podkreślić, że zgodnie z normą PCI DSS Empik nie przechowuje numerów kart płatniczych — tak swoje działania w toku wyjaśniania sprawy podsumowuje Empik.
Sytuacja jest wciąż monitorowana, a dane weryfikowane. Niemniej jednak wciąż istnieje pewne ryzyko, dlatego klienci, którzy robili zakupy w empiku i posiadają kartę lub aplikację sieci, powinni na wszelki wypadek zmienić hasła dostępu do swoich kont. Praktyką zalecaną w podobnych sytuacjach jest sprawdzenie w wyszukiwarce, czy pojawiają się tam nasze dane — można je usunąć za pomocą narzędzi Google. Dobrze stosować się do zasady różnych haseł — jeżeli wszędzie stosuje się jedno, wtedy zwiększa się ryzyko zagrożenia.
Do naruszeń związanych z cyberatakami, głównie phishingiem dochodzi coraz częściej. Wiele osób wciąż nie wie, jak się przed takimi sytuacjami chronić i jak na nie reagować. Bezpieczne hasło, oddzielne do każdego konta jest pierwszym krokiem zwiększającym bezpieczeństwo w sieci.
