Утечка в Hot Topic: 25 миллионов карт под угрозой взлома в ближайшие дни

Компания Atlas Privacy, занимающаяся анализом утечек данных, подтвердила факт крупной утечки данных в сети магазинов модной одежды Hot Topic. По результатам анализа похищенной базы данных специалистами компании установлен реальный масштаб инцидента, который оказался менее значительным, чем заявлял хакер изначально.

База данных объемом 730 ГБ содержит информацию о 54 миллионах уникальных адресов электронной почты, а не о 350 миллионах пользователей, как утверждалось ранее.

Однако особую обеспокоенность вызывает наличие в базе данных сведений о 25 миллионах номеров кредитных карт, защищенных слабым шифрованием. По словам программного инженера и исследователя Atlas Арно де Сен-Мелуара, расшифровка всего массива данных может быть осуществлена в ближайшие дни.

Специалисты отмечают, что сеть магазинов использовала устаревшие протоколы безопасности для хранения данных кредитных карт вместо привлечения более надежных сторонних поставщиков услуг. Подлинность похищенной базы данных подтверждается наличием множества новых адресов электронной почты, ранее не встречавшихся в других утечках. По оценкам Atlas Privacy, более 50% адресов являются уникальными.

Помимо электронных адресов, украденная база содержит полные имена, номера телефонов и даты рождения более 20 миллионов пользователей, а также домашние адреса 10 миллионов клиентов. Похищенные данные охватывают период с 2011 года по 19 октября 2024 года, поэтому часть информации может быть неактуальной. Тем не менее, в руках злоумышленников такие сведения могут быть использованы для мошенничества и кражи личных данных.

Для проверки затронутых пользователей компания Atlas Privacy создала специальный сервис на сайте Databreach.com. Сервис позволяет проверить наличие личной информации в украденной базе данных путем ввода электронной почты, номера телефона, полного имени или адреса. Важно отметить, что конфиденциальные данные не передаются на серверы Atlas и не хранятся - вместо этого создается хеш-отпечаток введенной информации для сравнения с копией базы данных.

По предварительным данным, утечка произошла через компанию Robling, предоставляющую услуги розничной аналитики. Злоумышленник, известный под псевдонимами «Satanic» и «Dark X», получил доступ к учетным данным базы Hot Topic после заражения систем Robling вредоносным программным обеспечением. В базе также могут содержаться данные клиентов дочерних брендов Hot Topic - BoxLunch и Torrid.

На момент публикации представители Hot Topic и Robling не предоставили комментариев по поводу инцидента. Хакер продолжает продавать доступ к украденной базе данных, снизив цену с первоначальных 20 000 до 4 000 долларов. Предположительно, компания собирала персональные данные через программу лояльности, требующую указания электронной почты и номера телефона при регистрации.