W nocy z poniedziałku na wtorek (26-27 sierpnia) klienci kilku internetowych sklepów erotycznych otrzymali e-maile od przestępcy, który wykradł ich dane i szczegóły zamówień - informuje portal Niebezpiecznik.pl. W treści wiadomości sprawca podaje informacje o nabytych produktach oraz twierdzi, że zna dane teleadresowe odbiorcy.
Wyciek danych z polskich sex-shopów. Sprawca grozi upublicznieniem informacji o zakupach
Przestępca domaga się od klientów wpłaty 500 zł do 1 października. Grozi, że po tym terminie zamierza upublicznić wykradzioną bazę danych. "Wszystkie zamówienia niepłacących klientów zostaną opublikowane w formacie CSV, tak aby każdy zainteresowany miał przystępny dostęp do danych" - brzmi treść wiadomości, którą przytacza Niebezpiecznik.pl. Redakcja portalu podaje, że otrzymała kilkadziesiąt zgłoszeń w tym temacie. Większość osób potwierdziła, że była klientami sklepów, oraz że zgadza się podany przez sprawcę produkt.
Zgodnie z treścią maila od sprawcy wycieki danych objęły sklepy: Sensu, Sekrecik, eRozkosz i Kraina Doznań. Ci internetowi sprzedawcy korzystają z usług platform: AtomStore, Sote, RedCart i Selly. Autor wiadomości twierdzi, że sytuacja jest efektem "rażącego niedbalstwa, ignorancji i niskiej jakości kodu programistycznego platform e-commerce". Dodał, że wiedziały one o wycieku, ale "nie były zainteresowane współpracą".
Informacje o możliwym wycieku danych napływały już wcześniej
Niebezpiecznik.pl zwraca uwagę, że wiadomości od sprawcy zostały rozesłane przy użyciu adresów e-mail sklepów korzystających z usług Selly i RedCart, ale należących do innych branż. "To sugeruje, że albo nie wszystkie sklepy zostały zaktualizowane, albo luka, którą wykorzystał do pozyskania danych, wciąż jest niezałatana i w zasadzie z każdego sklepu na platformach RedCart/Selly można pozyskiwać dane klientów" - czytamy.
Portal pod koniec czerwca pisał o atakach na platformę e-commerce Selly na przykładzie sklepów dla sportowców. Radio ZET już wówczas informowało, że wyciek objął klientów sex-shopu Kraina Doznań. Z ówczesnych doniesień wynikało, że sprawca uzyskał dostęp do danych, takich jak imiona i nazwiska, adres e-mail, adres korespondencyjny i hasło w zaszyfrowanej formie.
