Компания Dave допустила утечку данных 7,5 млн пользователей

Рекомендуем почитать:

Xakep #255. Атаки на Windows

• Содержание выпуска
• Подписка на «Хакер»

Финансово-технический «единорог», компания Dave, уведомила своих клиентов об утечке данных. В общей сложности в сеть попала информация 7 516 625 пользователей, включая настоящие имена, номера телефонов, email-адреса, даты рождения и домашние адреса.

Издание ZDNet, получившее официальный комментарий от представителей Dave, пишет, что утечка произошла по вине бывшего делового партнера компании, аналитической платформы Waydev. Из-за халатности со стороны Waydev, злоумышленники смогли получить несанкционированный доступ к данным о пользователях Dave.

В Dave заявили, что уже обнаружили, как именно хакер проник в систему, и сейчас уведомляют клиентов об инциденте, а также расследуют случившееся совместно с экспертами компании CrowdStrike и правоохранительными органами (в том числе ФБР). Пароли пользователей приложения были сброшены после компрометации.

Об утечке стало известно 25 июля, когда на хакерском форме RAID был опубликован дамп с данными пользователей Dave. Судя по всему, за инцидентом стоит группа Shiny Hunters, ранее взявшая на себя ответственность за компрометацию GitHub-репозиториев Microsoft, а также взломавшая­ Tokopedia (крупнейший интернет-магазин Индонезии) и ряд других компаний.

Информация о пользователях Dave была опубликована бесплатно, разблокировать ссылку для загрузки дампа можно за внутреннюю валюту (кредиты) RAID-форума.

Как уже было сказано выше, в дампе можно найти такую информацию, как настоящие имена пользователей, номера телефонов, email-адреса, даты рождения и домашние адреса. Помимо этого БД содержит еще и номера социального страхования, хотя эта информация зашифрована. Пароли тоже пользователей тоже пострадали от утечки, но они были хэшированы с помощью bcrypt.

Представители Dave заявляют, что в настоящее время у них нет доказательств того, что хакеры использовали украденную информацию для получения доступа к учетным записям пользователей и выполнения каких-либо несанкционированных действий.

Источник