Wyciek danych – baza z ponad 100,000,000 rekordami posiadaczy kart kredytowych (Indie)

Informacje wrażliwe dotyczące ponad 100 milionów posiadaczy kart kredytowych i debetowych zostały, według ekspertów w dziedzinie bezpieczeństwa, ujawnione w darknecie. Dane te obejmowały pełne imiona i nazwiska, numery telefonów i adresy e-mailowe posiadaczy kart, wraz z pierwszymi i ostatnimi czterema cyframi ich kart. Wygląda na to, że były one związane z platformą płatniczą Juspay, która przetwarza transakcje dla indyjskich i globalnych kontrahentów, w tym między innymi Amazon, MakeMyTrip i Swiggy. Startup z Bengaluru przyznał, że niektóre z jego danych użytkownika zostały naruszone w sierpniu.

Dane, które pojawiły się w darknecie są związane z transakcjami online, które miały miejsce co najmniej między marcem 2017 a sierpniem 2020. Przykładowy zrzut bazy zawiera dane osobowe kilku indyjskich posiadaczy kart wraz z datami ważności ich kart, identyfikatorami klientów oraz zamaskowanymi numerami kart, przy czym pierwsze i ostatnie cztery cyfry kart są w pełni widoczne.

Podane dane mogą być łączone z danymi kontaktowymi dostępnymi w bazie w celu przeprowadzenia ataków phishingowych na poszkodowanych posiadaczy kart.

Badacz bezpieczeństwa cybernetycznego Rajshekhar Rajaharia odkrył zrzut danych na początku tego tygodnia. Baza była wystawiona na sprzedaż w darknecie. „Haker kontaktował się z kupcami przez Telegram i prosił o zapłatę w Bitcoinach”, stwierdził Rajaharia. Badacz powiedział również, że aby zweryfikować związek z Juspay, porównał pola danych dostępnych w plikach próbek zrzutu MySQL, które otrzymał od hakera, z dokumentem API Juspay. „Oba były dokładnie takie same”, powiedział.

Nie podając żadnych szczegółów dotyczących ostatniego wycieku danych, założyciel Juspay, Vimal Kumar, oświadczył, że 18 sierpnia wykryto „nieautoryzowaną próbę”, która została zablokowana w trakcie działania.

„Żaden numer karty, dane finansowe ani dane transakcji nie zostały naruszone” – powiedział Kumar. „Naruszone zostały dane zawierające nieanonimowe wiadomości e-mail, numery telefonów i zamaskowane karty używane do wyświetlania (zawierają pierwsze cztery i ostatnie cztery cyfry karty, co nie jest uważane za poufne)”.

Juspay poinformował swoich partnerów handlowych tego samego dnia, kiedy zaobserwował nieautoryzowany dostęp do swoich serwerów. Firma zidentyfikowała również luki w zabezpieczeniach w niektórych starszych kluczach dostępu używanych przez programistów i wprowadziła obowiązek dwuskładnikowego uwierzytelniania (2FA) dla wszystkich narzędzi, do których dostęp mają jej zespoły.

Z danych dostępnych na stronie Juspay wynika, że posiada ona zespół ponad 150 osób i przetwarza ponad cztery miliony transakcji dziennie umożliwiających dokonywanie płatności online. Z rozwiązań Justpay korzystają m.in.: Amazon, Airtel, Flipkart, Vi (Vodafone Idea), Swiggy i Uber.

Założona w 2012 roku firma Juspay posiada Payment Card Industry Data Security Standard (PCI DSS) Compliance Level 1, który jest najwyższym poziomem zgodności przyznawanym przez PCI Security Standards Council akceptantom płatności.

Eksperci zwracają uwagę, że wycieki danych są coraz częstsze w Indiach, ponieważ kraj ten rozbudowuje swoją infrastrukturę cyfrową, ale bez odpowiednich regulacji dotyczących bezpieczeństwa cybernetycznego. Brak ustawy o ochronie prywatności nie zmusza również firm działających w Indiach do rygorystycznej ochrony danych użytkowników.