Contenu
- Les bases de données appartenant au détaillant d'électronique populaire Gearbest ont apparemment été laissées exposées par la société.
- Une équipe de sécurité du chapeau blanc a déclaré que plus de 1,5 million d'enregistrements étaient accessibles, y compris les informations de connexion.
- Depuis, Gearbest a affirmé que des outils de gestion de données tiers étaient à l'origine de cet incident.
Gearbest est l’un des magasins d’électronique et de smartphones les plus populaires au monde, proposant une gamme de dispositifs éclectiques en provenance de Chine et d’ailleurs. Malheureusement, il semble que le site Web ne prenne pas suffisamment en charge les informations relatives à ses utilisateurs.
Une équipe de sécurité en chapeau blanc de VPNMentor (h / t: Police Android) ont découvert que la base de données d’utilisateurs de Gearbest était «complètement non sécurisée». L’équipe a déclaré que ses pirates informatiques pouvaient accéder à diverses bases de données relatives aux commandes, aux paiements et aux informations générales des utilisateurs.
Les informations compromettantes incluraient des noms, des numéros d'identification, des numéros de passeport, des historiques de commandes, des adresses de livraison, des informations de paiement, des adresses électroniques et des mots de passe.
L’équipe a affirmé qu’elle avait pu accéder à cette information plus tôt ce mois-ci, ajoutant qu’elle avait découvert plus de 1,5 million d’enregistrements. En outre, l’équipe a déclaré avoir contacté à plusieurs reprises Gearbest et sa société mère pour les informer de la violation, mais n’avait pas reçu de réponse.
Gearbest explique la violation
Le détaillant en ligne a depuis publié une déclaration via Police Android, affirmant que ses propres bases de données et ses serveurs étaient «absolument sûrs». Le site Web indiquait toutefois que d'autres outils de gestion de données tiers avaient peut-être été utilisés.
«Les outils externes que nous utilisons sont destinés à améliorer l'efficacité et à éviter la surcharge de données. Les données ne seront stockées dans ces outils que pendant moins de trois jours calendaires avant d'être automatiquement détruites», a expliqué le site internet en expliquant qu'il utilisait des «puissants pare-feu». pour protéger ces outils.
«Cependant, notre enquête a révélé que le 1er mars 2019, l'un des membres de notre équipe de sécurité avait supprimé ce pare-feu par erreur pour des raisons qui faisaient encore l'objet d'une enquête. Un tel statut non protégé a directement exposé ces outils d'analyse et d'accès sans autre authentification. "
Gearbest pense que les utilisateurs concernés sont limités à quelque 280 000 utilisateurs ayant commandé des articles entre le 1er et le 15 mars. Il a ajouté que le groupe enverrait un courrier électronique à tous les utilisateurs concernés, tout en "inactivant" les mots de passe des nouveaux utilisateurs enregistrés.
Ce n'est pas la première fois que Gearbest est pris dans une situation comme celle-ci, environ 150 enregistrements d'utilisateurs ayant déjà été mis sur Internet en décembre 2017. Au moment de cet incident, le site Web indiquait qu'il était probable que des pirates informatiques aient acheté ou acquis des informations de connexion d’autres sites Web et utilisaient ces informations pour se connecter à des comptes Gearbest.
