เนื้อหา
- ฐานข้อมูลที่เป็นของผู้ค้าปลีกอุปกรณ์อิเล็กทรอนิกส์ยอดนิยม Gearbest ถูกเปิดเผยโดย บริษัท
- ทีมรักษาความปลอดภัยหมวกขาวอ้างว่าสามารถเข้าถึงได้มากกว่า 1.5 ล้านบันทึกรวมถึงรายละเอียดการเข้าสู่ระบบ
- Gearbest ตั้งแต่นั้นมาอ้างว่าเครื่องมือการจัดการข้อมูลบุคคลที่สามจะตำหนิสำหรับเหตุการณ์ที่เกิดขึ้น
Gearbest เป็นหนึ่งในร้านขายอุปกรณ์อิเล็กทรอนิกส์และสมาร์ทโฟนที่ได้รับความนิยมมากที่สุดในโลกนำเสนออุปกรณ์ที่หลากหลายจากประเทศจีนและประเทศอื่น ๆ น่าเสียดายที่ดูเหมือนว่าเว็บไซต์ไม่ได้ดูแลข้อมูลผู้ใช้อย่างเพียงพอ
ทีมรักษาความปลอดภัยหมวกขาวจาก VPNMentor (h / t: ตำรวจ Android) ค้นพบว่าฐานข้อมูลผู้ใช้ของ Gearbest นั้น“ ไม่ปลอดภัยอย่างสมบูรณ์” ทีมงานกล่าวว่าแฮกเกอร์สามารถเข้าถึงฐานข้อมูลต่าง ๆ ที่เกี่ยวข้องกับคำสั่งซื้อการชำระเงินและข้อมูลผู้ใช้ทั่วไป
ข้อมูลที่ถูกเปิดเผยรวมถึงชื่อ, หมายเลข ID, หมายเลขหนังสือเดินทาง, ประวัติการสั่งซื้อ, ที่อยู่สำหรับจัดส่ง, รายละเอียดการชำระเงิน, ที่อยู่อีเมลและรหัสผ่าน
ทีมอ้างว่าสามารถเข้าถึงข้อมูลนี้ได้เมื่อต้นเดือนนี้โดยเพิ่มว่ามีการค้นพบมากกว่า 1.5 ล้านบันทึก นอกจากนี้ทีมยังกล่าวอีกว่าได้ติดต่อกับ Gearbest และ บริษัท แม่เพื่อแจ้งให้พวกเขาทราบเกี่ยวกับการฝ่าฝืน แต่ไม่ได้รับคำตอบ
Gearbest อธิบายการฝ่าฝืน
ผู้ค้าปลีกออนไลน์ได้ออกคำสั่งผ่านทาง ตำรวจ Androidโดยอ้างว่าฐานข้อมูลและเซิร์ฟเวอร์ของตัวเองนั้น“ ปลอดภัยอย่างแน่นอน” เว็บไซต์ได้กล่าวว่าผู้อื่นอาจเข้าถึงเครื่องมือการจัดการข้อมูลของบุคคลที่สามได้
“ เครื่องมือภายนอกที่เราใช้นั้นมีจุดประสงค์เพื่อปรับปรุงประสิทธิภาพและป้องกันการโอเวอร์โหลดข้อมูลและข้อมูลจะถูกเก็บไว้ในเครื่องมือดังกล่าวน้อยกว่าสามวันปฏิทินก่อนที่มันจะถูกทำลายโดยอัตโนมัติ” เว็บไซต์อธิบายโดยบอกว่ามันใช้“ ไฟร์วอลล์ที่ทรงพลัง” เพื่อปกป้องเครื่องมือเหล่านี้
“ อย่างไรก็ตามการสอบสวนของเราพบว่าเมื่อวันที่ 1 มีนาคม 2019 ไฟร์วอลล์ดังกล่าวถูกสมาชิกของทีมรักษาความปลอดภัยของเราถูกเข้าใจผิดเนื่องจากเหตุผลที่ยังอยู่ระหว่างการสอบสวน สถานะที่ไม่มีการป้องกันดังกล่าวได้เปิดเผยเครื่องมือเหล่านั้นโดยตรงสำหรับการสแกนและการเข้าถึงโดยไม่ต้องมีการตรวจสอบสิทธิ์เพิ่มเติม "
Gearbest เชื่อว่าผู้ใช้ที่ได้รับผลกระทบจะถูก จำกัด เพียง 280,000 คนที่สั่งซื้อรายการระหว่างวันที่ 1 มีนาคมถึง 15 มีนาคมมันเสริมว่ามันจะส่งอีเมลไปยังผู้ใช้ที่ได้รับผลกระทบทั้งหมดในขณะที่ "หยุด" รหัสผ่านของผู้ใช้ที่ลงทะเบียนใหม่
นี่ไม่ใช่ครั้งแรกที่ Gearbest ตกอยู่ในสถานการณ์เช่นนี้เนื่องจากมีผู้ใช้ประมาณ 150 คนที่เคยตีอินเทอร์เน็ตเมื่อเดือนธันวาคม 2560 ในช่วงเวลาที่เกิดเหตุการณ์นี้เว็บไซต์กล่าวว่ามีโอกาสที่แฮกเกอร์จะซื้อหรือได้รับข้อมูลการเข้าสู่ระบบของผู้ใช้จาก เว็บไซต์อื่น ๆ และใช้รายละเอียดเหล่านั้นในการเสนอราคาเพื่อเข้าสู่บัญชี Gearbest
