Крупная утечка данных сервиса кэшбэка ShopBack (shopback.com) произошла в сентябре 2020 года (информация также активно всплывала на форумах в конце того же года).
Что произошло и каковы масштабы
- Причина: Сотрудник компании случайно загрузил секретный ключ доступа к инфраструктуре Amazon Web Services (AWS) в публичную/приватную историю коммитов на GitHub еще в 2019 году. Старый ключ при ротации не был полностью аннулирован, что позволило злоумышленникам получить доступ к базам данных.
- Количество пострадавших: Инцидент затронул более 1.4–2 миллионов активных пользователей (в базах данных и индексах фигурировало свыше 20 миллионов записей, включая дубликаты и неактивные аккаунты).
- Утекшие данные:
- ФИО и адреса электронной почты (email);
- Номера мобильных телефонов;
- Страна проживания;
- Хэши паролей (в захешированном виде с «солью» по алгоритму SHA-1);
- В ряде случаев — номера банковских счетов и частичные данные банковских карт (в зависимости от активности пользователя на платформе).
Реакция компании и регуляторов
- Shopback оперативно сбросила пароли затронутых пользователей, принудительно завершила активные сессии (forced logouts) и привлекла независимых экспертов по кибербезопасности.
- Позднее, в конце 2024 года, Комиссия по защите личных данных Сингапура (PDPC) оштрафовала ShopBack на 74 400 сингапурских долларов за ненадлежащее управление ключами доступа.
Проверка и рекомендации
Вы можете проверить, попал ли ваш адрес электронной почты в эту базу, на независимом ресурсе HIBP.
Если вы пользовались ShopBack в тот период, хотите ли вы узнать:
- Как проверить безопасность ваших текущих паролей?
- Какие меры защиты предпринять, если вы использовали тот же пароль на других сайтах?