O breșă de securitate asociată brandului Zara a expus informații personale aparținând unor clienți, cu un impact estimat la peste 197.000 de persoane.

Gruparea de hackeri ShinyHunters a publicat peste 140 GB de date de la Zara după o breșă de securitate la Anodot, un partener terț folosit de mai multe organizații pentru detecția de anomalii în datele operaționale și de business (e.g., modificări în tranzacții, venit, performanță).

Printre clienții Anodot este și Inditex, compania mamă a brandului Zara. Inditex a confirmat într-un comunicat că incidentul a vizat o bază de date legată de un fost furnizor tehnologic, iar sistemele centrale ale grupului au rămas intacte.

Potrivit companiei, informațiile compromise nu includ nume, parole, date de plată sau alte elemente financiare sensibile. Inditex a transmis că a activat procedurile de securitate imediat după identificarea accesului neautorizat și a informat autoritățile competente.

„Inditex a aplicat imediat protocoalele sale de securitate și a început să notifice autoritățile relevante cu privire la acest acces neautorizat, care provine dintr-un incident de securitate care a afectat un fost furnizor de tehnologie și a afectat mai multe companii care operează la nivel internațional”, a declarat grupul.

ShinyHunters susține că a sustras baza de date, iar platforma Have I Been Pwned a calculat numărul persoanelor afectate la 197.400. Setul de date conține informații precum adrese de email, detalii despre cumpărături, locații geografice, și tichete de suport ce ar putea include date suplimentare.

În ultimii ani, multe breșe cu impact major nu au început în infrastructura principală a unei companii, ci în sisteme externalizate, unde controlul asupra datelor și al accesului poate fi mai greu de monitorizat.

Pentru organizații globale ca Inditex, gestionarea furnizorilor, segmentarea datelor și limitarea accesului la informațiile sensibile rămân elemente critice.

Hackerii spun că breșa de la Anodot le-a permis să fure baze de date de la zeci de companii cu scopul de a le extorca pentru a nu face publice datele sustrase.

Gruparea ShinyHunters este responsabilă pentru o serie lungă de breșe la diverși furnizori de servicii precum Anodot, ce au afectat un număr impresionant de companii și organizații precum Google, Cisco, PornHub, Vimeo, RockStar Games, Medtronic, Udemy, și 7-Eleven.

Pe lângă Anodot, atacatorii spun că au furat peste 1,5 miliarde de înregistrări din Salesforce, de la 760 de companii. Pentru a ajunge la aceste instanțe Salesforce, grupul ShinyHunters a exploatat o breșă la un alt furnizor, Salesloft, de unde a obținut tokenuri de autentificare OAuth din aplicația Drift, folosită pentru chatboți AI în marketing și vânzări.