У производителя туалетной бумаги Who Gives A Crap произошла утечка данных клиентов: 30 октября злоумышленник проник в системы американского поставщика маркетингового ПО. Под риск попали покупатели из Великобритании, США и Австралии — вместе с контактами раскрылась и сумма их покупок. Для российских IT-команд это очередное напоминание: слабое звено в защите клиентских данных нередко находится не в собственном контуре, а в очередном SaaS-подрядчике.
Компания разослала уведомления пострадавшим покупателям в минувшие выходные, сообщает The Register. По её данным, поставщик обнаружил вторжение 31 октября и заявил, что защитил свои системы к 1 ноября. Однако Who Gives A Crap узнала об инциденте лишь 6 ноября — спустя пять дней после предполагаемого устранения проблемы.
В доступ злоумышленника попали имена, адреса электронной почты, номера телефонов, почтовые адреса и общая сумма расходов клиентов у продавца. Банковские реквизиты, пароли, сведения о заказах и сами пользовательские аккаунты, по утверждению компании, затронуты не были. Это ограничивает прямой ущерб, но оставляет достаточно материала для убедительного фишинга: мошенник может назвать имя, адрес и сослаться на реальные отношения с магазином.
Самый неприятный пробел в картине — компания пока не знает, были ли данные скопированы или выгружены. Следов злоупотребления найдено не было, но отсутствие таких следов не доказывает, что выгрузки не произошло. В подобных инцидентах это различие критично: несанкционированный доступ может остаться эпизодом в логах, а подтверждённая эксфильтрация превращает базу контактов в товар для фишинговых кампаний на месяцы вперёд.
Подрядчик известен только по последствиям
Who Gives A Crap не раскрыла название маркетингового поставщика, через которого произошёл инцидент, и не назвала число затронутых клиентов. Известно лишь, что поставщик базируется в США. Канадский магазин компании в этот раз не пострадал: по данным продавца, персональная информация его покупателей не была доступна постороннему.
После уведомления от подрядчика компания отключила его от своих систем и сменила учётные данные доступа. Клиентам рекомендовали внимательно относиться к неожиданным письмам, сообщениям и звонкам. Это базовая мера, но в данном случае особенно важная: сочетание контактов и истории совокупных трат позволяет злоумышленникам делать сообщения правдоподобнее, не обладая ни данными карт, ни содержимым конкретных заказов.
Сооснователь и генеральный директор Who Gives A Crap Саймон Гриффитс подтвердил, что инцидент касается покупателей австралийского, британского и американского магазинов. Компания также заявила, что взаимодействует с профильными регуляторами. Британский надзорный орган ICO подтвердил журналистам получение сообщения об инциденте и начал оценку предоставленной информации.
История хорошо иллюстрирует типовую проблему управления поставщиками. Заказчик может настроить MFA, сегментацию и журналирование у себя, но маркетинговая платформа всё равно получает доступ к части базы клиентов, интеграциям или токенам. Когда такая платформа становится точкой входа, компания вынуждена одновременно разбираться в технических деталях, уведомлять пользователей и объяснять, почему новость о взломе пришла через несколько дней после его обнаружения.
Что проверить IT-командам и бизнесу
Для разработчиков и специалистов по безопасности главный вывод здесь не в выборе очередного инструмента мониторинга. Нужна понятная карта: какой внешний сервис получает персональные данные, какие именно поля он видит, кто и как отзывает его доступ при инциденте. Отдельно стоит заранее закрепить в договоре сроки уведомления о нарушениях и обязанность подрядчика передать технические индикаторы компрометации, а не ограничиться формулировкой «системы защищены».
Для продукта и CRM-команд полезен принцип минимизации данных. Маркетинговому сервису не всегда нужны одновременно телефон, полный адрес, e-mail и финансовый профиль клиента. Чем уже набор полей и короче срок хранения, тем меньше ценность утечки для мошенников и тем проще объяснять последствия пользователям. Нельзя забывать и о доступах: интеграционные ключи, сервисные учётные записи и экспортные права часто переживают смену подрядчика дольше, чем сам контракт.
Утечка данных клиентов в Who Gives A Crap пока не получила публичной оценки по масштабу, а имя поставщика остаётся неизвестным. Но уже понятен главный вопрос для рынка: как быстро компании будут узнавать о проблемах у своих вендоров и смогут ли они подтвердить, что данные не ушли наружу. Подробности позиции компании и комментарий её CEO опубликованы в материале .
