Reddit mówi, że Gearbest został zhakowany. Gearbest mówi, że to nie on, ale i tak zamraża konta użytkowników
Użytkownicy Reddita twierdzą, że GearBest został zhakowany. Sklep zaprzecza, ale zamraża setki kont klientów. W oficjalnym oświadczeniu czytamy, że pasujące do kont na GearBeście dane do logowania pochodzą z wycieku z jakichś "innych stron".
Po raz pierwszy informacja o tym, że hasła, loginy i dane adresowe użytkowników jednego z największych sklepów internetowych zostały udostępnione w Sieci, pojawiła się na Reddicie. GearBest zaprzecza, że to on jest źródłem przecieku i uspokaja swoich klientów, jednocześnie zamrażając setki kont swoich użytkowników.
Co mówi Reddit?
Użytkownik Reddita jamesdownwell co jakiś czas wpisuje w przeglądarkę Google'a swój adres email, żeby sprawdzić, czy nie pojawia się on w niepokojącym kontekście. W trakcie ostatniej tego typu kontroli natrafił na swoje dane adresowe i hasło do konta na GearBest.com. Zdenerwowany skontaktował się z działem obsługi klienta sklepu. Jego przedstawiciel zapewnił go, że zajmie się problemem. Jednak czas mijał, a sklep nie poinformował o niczym klientów. Jamesdonwell postanowił wziąć sprawę we własne ręce i ją nagłośnić. Jego podst doprowadził do dyskusji na Reddicie, w której pojawiły się głosy twierdzące, że luka w zabezpieczeniach sklepu istnieje już od maja. Rzekomo od tego czasu loginy, hasła i adresy dostaw były dostępne w Sieci.
Co mówi GearBest?
W wydanym na Facebooku oświadczeniu GearBest potwierdził, że jego pracownicy zaobserwowali szereg włamań na konta użytkowników. Zaprzeczył jednak, aby włamania były efektem dziur w ich systemie bezpieczeństwa. Sklep twierdzi, że dane zostały pozyskane "z innych stron", nie precyzując jednak jakie to miałyby być strony. Swoim klientom zalecają zmienić hasła i adresy email przypisane do kont.
W oświadczeniu GearBesta niepokoi jedno. Deklaracja, że dane zostały skradzione z innych stron bez podania szczegółów. Można podejrzewać, że pracownicy sklepu nie mają żadnego konkretnego podejrzanego na myśli, a jedynie zakładają, że jeśli nie znaleźli po swojej stronie wycieku, to musi on istnieć gdzieś indziej. Oczywiście może się zdarzyć, że jest jakaś trzecia strona, której dane klientów pokrywają się w dużej mierze z danymi użytkowników GearBestu i że to ona jest źródłem wycieku. Niemniej dopóki nie zostanie ona odnaleziona i zidentyfikowania, osoby odpowiedzialne za bezpieczeństwo klientów powinny szukać dziury w swoich systemach.
Jeżeli informacje z Reddita są prawdziwe i rzeczywiście za wyciek odpowiada luka w API GearBestu, zmiana hasła i adreu email, nie pomoże. Jedynym pewnym zabezpieczeniem w takiej sytuacji jest zastosowanie weryfikacji dwustopniowej, co na szczęście sklep umożliwia.
