SafePal деректерінің ағып кетуі: 40 000-ға жуық пайдаланушы фишинг қаупіне ұшырады
16 тамызда аппараттық криптоәмияндар өндірушісі SafePal шамамен 39 798 клиентке әсер еткен деректер ағып кету оқиғасын ресми растады. Рұқсатсыз қол жеткізу нәтижесінде пайдаланушылардың аты-жөні, жеткізу мекенжайлары, телефон нөмірлері, электрондық пошталары және тапсырыс мәліметтері үшінші тұлғалардың қолына түсті. Бұл мұндай қызметтер пайдаланатын ақпараттың сезімталдығын ескере отырып, бүкіл нарық үшін маңызды сигнал болып табылады.
Оқиға сид-фразаларға, жеке кілттерге, парольдерге, банк деректемелеріне, карта және құжат нөмірлеріне әсер етпегенін атап өту маңызды. SafePal мұндай деректерді өз инфрақұрылымында жинамайды және сақтамайды, бұл аппараттық әмияндар үшін қауіпсіздіктің негізгі факторы болып табылады. Қазіргі уақытта жоба командасы зиянкестердің пайдаланушылардың қаражатына немесе әмияндарына қол жеткізу белгілерін анықтаған жоқ, бұл тікелей қаржылық қауіп деңгейін төмендетеді.
Алайда зардап шеккен клиенттер үшін тәуекелдер жоғары болып қалады. Жеке деректердің ағып кетуі мақсатты шабуылдар үшін кең өріс ашады: зиянкестер алынған ақпаратты қоңырау шалу, қолдау қызметі атынан хабарлама жіберу, қаражатты қайтару ұсыныстары, микробағдарламаны жаңарту талаптары немесе фишингтік ресурстарға қайта бағыттау үшін пайдалана алады. SafePal компаниясы жалған сайттарды бақылап, олардың бұғатталуына қол жеткізіп жатқандарын мәлімдеді.
Оқиғаның себебі
Мәселенің түбірі клиенттік деректермен байланысты тапсырыстарды бақылау плагиніндегі авторизация қатесінде жатыр. Плагин ақпаратқа қол жеткізуді дұрыс өңдемеген, бұл бөгде адамдарға басқа клиенттердің тапсырыстарын көруге мүмкіндік берген. Мәлімдеме жарияланған кезде әзірлеушілер осалдықты жойып, қорғаныс шараларын күшейткен.
Оқиға 2025 жылғы 2 наурыз бен 2026 жылғы 11 сәуір аралығында тапсырыс берген клиенттерге әсер етті. Айта кету керек, SafePal осалдық қашан пайдаланылғанын және қашан анықталғанын нақты мерзімдерін ашпайды. Қазір компания тәуелсіз қауіпсіздік ұйымымен бірлесіп тергеу жүргізіп жатыр, сонымен қатар тапсырыстарды өңдеудің бүкіл жүйесіне толық аудит жүргізуді жоспарлап отыр.
Заңнама талаптарына сәйкес, SafePal осы жүйедегі деректерді сақтау мерзімін 90 күнге қысқартты және логистикалық серіктестерге хабарлап, олардың жүйелерін ықтимал әсерге тексеруді сұрады. Бұл болашақта салдарларды барынша азайтатын орынды қадам.
Айта кету керек, бұл апта ішіндегі екінші осындай оқиға: 13 тамызда Trezor жобасы ұқсас мәселеге тап болды, онда логистикалық серіктес ShipMonk-тің бұзылуы шамамен 14 000 клиенттің деректерінің ағып кетуіне әкелді. Мұндай үрдіс алаңдаушылық тудырады: қауіпсіздік эталоны ретінде орналастырылған аппараттық әмияндар индустриясы өзінің перифериялық қызметтері — логистика және тапсырыстарды өңдеу арқылы осал болып шығады. Бұл қауіпсіздік — кешенді жүйе екенін және әлсіз буын ең күтпеген жерде болуы мүмкін екенін еске салады.