SafePal деректерінің ағып кетуі: 40 000 пайдаланушы фишинг қаупіне ұшырады
16 тамызда аппараттық криптоәмияндар өндірушісі SafePal шамамен 39 798 клиентке әсер еткен жеке деректердің ағып кету фактісін ресми растады. Үшінші тұлғалардың қолына пайдаланушылардың аты-жөні, жеткізу мекенжайлары, телефон нөмірлері, электрондық пошталары және тапсырыс мәліметтері түсті.
Атап өту маңызды: оқиға критикалық сезімтал ақпаратқа әсер еткен жоқ. Сид-фразалар, жеке кілттер, құпия сөздер, банк деректемелері және құжат мәліметтері қауіпсіз болып қалды — SafePal мұндай ақпаратты өз серверлерінде сақтамайды. Жоба командасы әмияндарға немесе пайдаланушылардың қаражаттарына рұқсатсыз қол жеткізу белгілерін анықтаған жоқ.
Алайда басты қауіп басқада. Жеке деректердің ағып кетуі мақсатты шабуылдар үшін кең өріс ашады: зиянкестер қолдау қызметкерлерінің атын жамылып, қоңырау шалып, мессенджерлерде жазып, «қаражатты қайтаруды» ұсынып немесе «микробағдарламаны жаңартуды» талап ете алады. Мұның бәрі — қаражатты ұрлауға бағытталған классикалық фишинг сценарийлері. Қазіргі уақытта SafePal жалған ресурстарды белсенді түрде бақылап, олардың бұғатталуына қол жеткізуде.
Оқиғаның себебі
Мәселенің түбірі — клиенттік базамен интеграцияланған тапсырыстарды бақылау плагиніндегі авторизация қатесі. Плагин қол жеткізу сұрауларын дұрыс өңдемеген, бұл бөгде адамға басқа пайдаланушылардың тапсырыстарын көруге мүмкіндік берген. Мәлімдеме жарияланған кезде әзірлеушілер осалдықты жойып, қорғаныс шараларын күшейткен.
Оқиға 2025 жылғы 2 наурыздан 2026 жылғы 11 сәуірге дейін тапсырыс берген клиенттерге әсер етті. Осалдықты пайдаланудың нақты мерзімдері мен оның анықталған уақыты әзірге ашылмай отыр. Қазіргі уақытта SafePal тәуелсіз қауіпсіздік компаниясымен бірлескен тергеу жүргізіп, тапсырыстарды өңдеу жүйесінің толық аудитін жоспарлауда.
Заңнамаға сәйкес, компания осы жүйедегі деректерді сақтау мерзімін 90 күнге қысқартып, логистикалық серіктестерге хабарлап, олардың жүйелерін ымыраға алынуға тексеруді сұрады.
Бұл апта ішіндегі осындай екінші оқиға. Бұған дейін, 13 тамызда, Trezor жобасы ұқсас ағып кетуге тап болды: логистикалық серіктес ShipMonk-тің бұзылуы шамамен 14 000 клиенттің деректерінің ашылуына әкелді. Жағдай тіпті ең қорғалған криптоәмияндардың да жеке деректермен жұмыс істейтін үшінші тарап қызметтері арқылы осал екенін айқын көрсетеді.
Менің пікірім: SafePal және Trezor оқиғалары — бүкіл индустрия үшін дабыл қоңырауы. Аппараттық әмияндар қаражат қауіпсіздігінің алтын стандарты болып қала береді, бірақ олардың пайдаланушылары басты қауіпке — әлеуметтік инженерияға тап болады. Егер сіз осындай хабарлама алсаңыз, есте сақтаңыз: ресми қолдау ешқашан сіздің сид-фразаңызды немесе жеке кілтіңізді сұрамайды. Кез келген байланысты жобаның ресми арналары арқылы тексеріңіз.