Η ισπανική PcComponentes αρνείται ότι υπέστη hacking επίθεση

Ο ισπανικός διαδικτυακός λιανοπωλητής ηλεκτρονικών ειδών PcComponentes αρνήθηκε τους ισχυρισμούς ενός hacker σχετικά με την κλοπή δεδομένων πελατών του.

Η πλατφόρμα Hackrisk.io ανέφερε ότι ένας κακόβουλος παράγοντας με το ψευδώνυμο ‘daghetiaw‘ ισχυρίστηκε ότι παραβίασε την εταιρεία ηλεκτρονικού εμπορίου. Ο hacker φέρεται να έκλεψε δεδομένα που αφορούν 16,3 εκατομμύρια άτομα, συμπεριλαμβανομένων αριθμών φορολογικής ταυτότητας, παραγγελιών, τιμολογίων, διευθύνσεων, στοιχείων επικοινωνίας, Zendesk tickets, μεταδεδομένων πιστωτικών καρτών, διευθύνσεων IP και πληροφοριών αγορών. Η πλατφόρμα σημειώνει ότι ο hacker έχει μοιραστεί ένα δείγμα 500.000 γραμμών ως απόδειξη της κλοπής δεδομένων από την PcComponentes.

Δείτε επίσης: ESA: Νέα παραβίαση εκθέτει δεδομένα διαστημοπλοίων και αποστολών

Τι λέει PcComponentes για το περιστατικό;

Η PcComponentes αναφέρει ότι δεν υπήρξε μη εξουσιοδοτημένη πρόσβαση στις βάσεις δεδομένων ή στα εσωτερικά συστήματά της. “Αυτό που έχουμε εντοπίσει είναι ένα φαινόμενο γνωστό στην κυβερνοασφάλεια ως credential stuffing. Αυτό σημαίνει ότι ένας χρήστης χρησιμοποίησε διευθύνσεις email και κωδικούς πρόσβασης που αποκτήθηκαν από άλλες παραβιάσεις ασφαλείας σε βάσεις δεδομένων εκτός της PcComponentes“, ανέφερε η εταιρεία, προσθέτοντας: “Οι κατηγορίες δεδομένων που επηρεάστηκαν είναι: όνομα, επώνυμο, αριθμός ταυτότητας (σε περιπτώσεις που ο πελάτης τον έχει εισάγει), διεύθυνση, IP, email και αριθμός τηλεφώνου“.

Η PcComponentes δήλωσε ότι ο ισχυρισμός σχετικά με την παραβίαση δεδομένων 16 εκατομμυρίων πελατών είναι ψευδής, καθώς ο αριθμός των ενεργών λογαριασμών στην PcComponentes είναι σημαντικά χαμηλότερος. Επιπλέον, η παράνομη πρόσβαση φαίνεται να επηρέασε ορισμένους μόνο πελάτες.

Δείτε επίσης: Κατάχρηση Zendesk για αποστολή spam emails

Επίσης, η εταιρεία εξήγησε ότι τα τραπεζικά στοιχεία δεν έχουν παραβιαστεί σε καμία περίπτωση, “καθώς η PcComponentes δεν τα αποθηκεύει, αλλά διατηρεί μόνο έναν κωδικό ασφαλείας (token) που χρησιμοποιείται για την αναγνώριση της πληρωμής, αλλά δεν επιτρέπει την προβολή της κάρτας ή τη χρέωση από μόνη της. Αυτός ο κωδικός δεν έχει αξία εκτός του συστήματος πληρωμών και δεν μπορεί να χρησιμοποιηθεί με δόλιο τρόπο. Για αυτόν τον λόγο, δεν υπάρχει κίνδυνος κλοπής τραπεζικών στοιχείων“;

Το ίδιο ισχύει και για τους κωδικούς πρόσβασης των πελατών, οι οποίοι επίσης δεν αποθηκεύονται ποτέ στη βάση δεδομένων της εταιρείας. Αντίθετα, μετατρέπονται σε έναν μυστικό, κρυπτογραφημένο κωδικό (hash). Αυτός ο κωδικός είναι μη αναστρέψιμος, πράγμα που σημαίνει ότι ούτε η εταιρεία ούτε κανείς άλλος μπορεί να δει τον αρχικό κωδικό πρόσβασης.

Δείτε επίσης: FortiGate: Αυτοματοποιημένες επιθέσεις αλλάζουν ρυθμίσεις firewall

Τέλος, η PcComponentes αναφέρει ότι έχει εφαρμόσει μια σειρά από μέτρα που στοχεύουν στην ελαχιστοποίηση του αντίκτυπου αυτού του περιστατικού, τα οποία “ενισχύουν σημαντικά την προστασία των λογαριασμών και μειώνουν τον κίνδυνο παράνομης πρόσβασης από παραβιασμένες βάσεις δεδομένων εκτός της PcComponentes που δημοσιεύονται στο διαδίκτυο“.