Polonya Merkezli E-ticaret Şirketinde Veri Sızıntısı

Siber güvenlik araştırmacıları Polonya merkezli e-ticaret şirketi BrandBQ'ya ait olan ve herkese açık olarak duran bir Elasticsearch veritabanı keşfetti.

Siber güvenlik araştırmacıları Noam Rotem ve Ran Locar liderliğindeki vpnMentor araştırmacıları tarafından yürütülen ve Hack Press ile paylaşılan yeni bir araştırmaya göre Polonya merkezli e-ticaret şirketi BrandBQ'ya ait olan bir Elasticsearch veritabanı korumasız olarak barındırılıyordu.

Araştırmacılar, 28 Haziran 2020'de BrandBQ'ya ait olduğunu tespit ettikleri bir veritabanı keşfetti. Herkese açık olarak duran bu veritabanını incelediklerinde ise veritabanındaki kayıtların BrandBQ'ya ait olan Wear Medicine ve Answear adlı e-ticaret sitelerine ait olduğunu tespit etti.

Araştırmacıların tespitlerine göre söz konusu veritabanı 7 TB boyutundaydı ve 1 milyardan fazla kayıt içeriyordu ancak müşterilerin kişisel bilgilerinin olduğu kayıtların sayısı 6.7 milyondu.

Bu kayıtların arasında bahsi geçen e-ticaret sitelerinin müşterilerine ait;

• Ad-soyad
• Telefon numarası
• E-posta adresi
• Doğum tarihi
• Ev adresi
• Cinsiyet
• Ödeme kayıtları (Kredi kartı bilgileri hariç) gibi bilgiler bulunuyordu.

VpnMentor araştırmacıları, 5 Ağustos 2020'de BrandBQ ile iletişime geçtiklerini ve şirketin 20 Ağustos'ta ilgili veritabanını güvenli hale getirerek veri sızıntısını durduğunu söyledi.

Ayrıca 20 Ağustos'ta şirketten araştırmacılara gönderilen e-postada, veritabanında Mart 2020'den 20 Ağustos'ta kadar olan zaman diliminde 500 bin müşterinin verilerinin olduğu, bu veriler arasında Polonya ve Ukrayna'daki Answear müşterilerine ait verilerin olmadığı söylendi.

Bu araştırmayı bizimle paylaşan vpnMentor'dan Lisa Taylor'a teşekkür ediyoruz.