SafePal деректерінің ағып кетуі: аппараттық әмияндардың 40 000-ға жуық пайдаланушысы соққыға ұшырады
16 тамызда аппараттық криптоәмияндар өндірушісі SafePal жеке деректердің ағып кетуіне қатысты оқиғаны ресми растады, бұл шамамен 39 798 клиентке әсер етті. Рұқсатсыз қол жеткізу нәтижесінде үшінші тұлғалардың қолына пайдаланушылардың аты-жөні, жеткізу мекенжайлары, телефон нөмірлері, электрондық пошталары және тапсырыс мәліметтері түсті.
Маңыздысын атап өту керек: маңызды қаржылық ақпарат зардап шеккен жоқ. Сид-фразалар, жеке кілттер, құпия сөздер, банк деректемелері және төлем карталарының мәліметтері қауіпке ұшыраған жоқ, өйткені SafePal командасының мәлімдеуінше, мұндай ақпаратты өз серверлерінде сақтамайды. Қазіргі уақытта зиянкестердің пайдаланушылардың қаражатына немесе әмияндарына қол жеткізгені туралы ешқандай дәлел жоқ.
Алайда ерте босаңсуға болмайды. Ағып кету мақсатты фишингтік шабуылдар үшін қолайлы жағдай жасайды. Байланыс деректеріне ие бола отырып, зиянкестер SafePal қолдау қызметінің атынан шығып, жалған ақша қайтаруды ұсынуы, «микробағдарламаны жаңартуды» талап етуі немесе құрбандарды жалған веб-ресурстарға бағыттауы мүмкін. Жоба командасы фишингтік домендерді қазірдің өзінде бақылап, оларды бұғаттауға белсенді түрде ұмтылуда.
Оқиғаның себебі және залал ауқымы
Мәселенің түбірі клиенттік базамен интеграцияланған тапсырыстарды бақылау плагиніндегі авторизация қатесінде жатыр. Қол жеткізу құқықтарын дұрыс өңдемеу салдарынан бөгде пайдаланушы басқа клиенттердің тапсырыстарын көре алатын. Мәлімдеме жарияланған кезде осалдық жойылып, қорғаныс шаралары күшейтілді.
Оқиға 2025 жылдың 2 наурызы мен 2026 жылдың 11 сәуірі аралығында сатып алу жасаған клиенттерге әсер етті. SafePal осалдықты пайдаланудың нақты мерзімдерін және оның анықталған сәтін әзірге жарияламайды. Қазір тәуелсіз қауіпсіздік компаниясымен бірлескен тергеу жүргізілуде, сонымен қатар тапсырыстарды өңдеу жүйесінің толық аудиті жоспарланған.
Алдын алу шарасы ретінде компания осал жүйедегі деректерді сақтау мерзімін 90 күнге қысқартты және логистикалық серіктестерге хабарлап, олардан өз жүйелерін қауіпке ұшырау тұрғысынан тексеруді сұрады. Айта кету керек, осыдан бірнеше күн бұрын, 13 тамызда, SafePal бәсекелесі — Trezor жобасында да осыған ұқсас мәселе анықталды, онда деректердің ағып кетуі шамамен 14 000 клиентке әсер етті.
Менің талдауым: Бұл оқиға — тіпті ең қорғалған аппараттық әмияндар да жеткізу және логистика сияқты қосалқы қызметтерге келгенде толық анонимділік пен қауіпсіздікке кепілдік бермейтінін тағы бір еске салу. Тапсырыс деректері — экожүйедегі әлсіз буын, ал пайдаланушылар ресми көрінгенімен, кез келген кіріс хабарламаларға өте сақ болуы керек. Мұндай шабуылдардың саны артып келе жатқан жағдайда, мұқияттылық — сіздің басты активіңіз.