Revolve'daki veri ihlalinden 1,5 milyon kişi etkilendi: kayıtlı kart numaraları ve son kullanma tarihleri de erişilen veriler arasında
ABD'li online moda perakendecisi Revolve, Eylül ayındaki siber saldırıdan 1.515.073 kişinin etkilendiğini Indiana Başsavcılığına bildirdi. Erişilen veriler arasında ad, iletişim bilgileri, kart numarası ve son kullanma tarihi var.
ABD merkezli online moda perakendecisi Revolve, Eylül ayında yaşadığı siber saldırıdan 1.515.073 kişinin etkilendiğini Indiana Başsavcılığına bildirdi. SecurityWeek'in 9 Kasım tarihli haberine göre şirket bu güne kadar toplam etkilenen sayısını kamuoyuyla paylaşmamıştı. Iowa, Massachusetts, South Carolina, Texas ve Vermont'taki düzenleyicilere yapılan bildirimler toplamda yaklaşık 197 bin kişiyi kapsıyordu.
Revolve olayı 29 Ekim'de SEC'e yaptığı bildirimle duyurmuş ve aynı tarihlerde müşterilere bildirim mektupları göndermeye başlamıştı.
Ne oldu?
Şirketin açıklamasına göre yetkisiz bir taraf 11 Eylül'de e-ticaret platformu da dahil olmak üzere bazı sistemlere girdi. Indiana Başsavcılığı kayıtlarına göre Revolve izinsiz erişimi 29 Eylül'de fark etti. Saldırganın verileri "otomatik yollarla" toplamış olabileceği belirtiliyor.
Erişilen bilgiler şunlar:
- Ad ve iletişim bilgileri (posta adresi dahil)
- Kart numarası ve son kullanma tarihi
Etkilenenler, online hesaplarında bir ödeme yöntemini kayıtlı tutmayı seçen müşterilerle sınırlı. Revolve olayı federal kolluk kuvvetlerine bildirdiğini ve dış siber güvenlik uzmanlarıyla çalıştığını açıkladı. Saldırganların sisteme nasıl girdiği açıklanmadı; olayı üstlenen bir grup da yok.
Neden önemli?
Kart numarasıyla son kullanma tarihinin birlikte erişilmesi, kart sahipleri için sahtecilik riskini artırıyor. Ayrıca ad ve adres bilgisinin kart verisiyle birlikte bulunması, Revolve ya da banka adına gönderilecek phishing mesajlarını daha inandırıcı hale getirebilir. İlk bildirimlerdeki rakamla son rakam arasındaki büyük fark da çok eyaletli bildirimlerde ihlalin gerçek boyutunun zaman içinde ortaya çıktığını gösteriyor.
Ne yapılmalı?
- Revolve müşterileri: Hesabınızda kayıtlı kart varsa kart ekstrelerini düzenli kontrol edin; şüpheli işlemi bankanıza bildirin, gerekirse kartı yeniletin.
- Revolve ya da bankanız adına gelen ve kart bilgisi, CVV ya da tek kullanımlık kod isteyen mesajlara yanıt vermeyin; banka ile yalnızca resmi kanallardan iletişim kurun.
- E-ticaret şirketleri: Kayıtlı kart verisini tokenization ile saklayın, ham kart numarasını kendi sistemlerinizde tutmayın; PCI DSS kapsamını küçültün.
- Otomatik veri toplama (scraping, bot trafiği) belirtileri için hesap ve ödeme sayfalarındaki anormal istek hacmini izleyin.
