Hackers que invadiram os bancos de dados da varejista espanhola de moda rápida Zara roubaram dados de mais de 197.000 clientes, segundo o serviço de notificação de vazamentos Have I Been Pwned.
A Zara tem mais de 1.500 lojas próprias e franqueadas em todo o mundo e é a principal marca do grupo Inditex, um dos maiores conglomerados de distribuição de moda do planeta.
O grupo também é dono da Bershka, Zara Home, Oysho, Pull&Bear, Massimo Dutti, Stradivarius e Uterqüe.
Como informou a Inditex no mês passado, quando o caso ganhou ampla repercussão, os bancos de dados comprometidos estavam hospedados por um antigo fornecedor de tecnologia e continham informações sobre relações comerciais com clientes em diferentes mercados.
A empresa afirmou, porém, que os invasores não tiveram acesso aos nomes, telefones, endereços, credenciais nem a informações de pagamento, como cartões bancários, dos clientes afetados.
A Inditex também disse que suas operações e sistemas não foram afetados, mas ainda não atribuiu o vazamento a um threat actor específico nem revelou o nome do fornecedor invadido.
“A Inditex aplicou imediatamente seus protocolos de segurança e começou a notificar as autoridades competentes sobre esse acesso não autorizado, decorrente de um incidente de segurança que afetou um antigo fornecedor de tecnologia e impactou várias empresas que operam internacionalmente”, afirmou a companhia.
Embora a Inditex e a Zara ainda não tenham divulgado mais detalhes sobre o incidente, incluindo o número total de pessoas afetadas, a gangue de extorsão ShinyHunters reivindicou a autoria do ataque e vazou um arquivo de 140 GB com documentos supostamente roubados de instâncias do BigQuery usando tokens de autenticação comprometidos da Anodot.
O Have I Been Pwned analisou os dados roubados e informou hoje que o vazamento expôs informações de 197.400 pessoas, incluindo endereços de e-mail únicos, localizações geográficas, compras e tickets de suporte.
“Os dados continham 197 mil endereços de e-mail únicos, além de SKUs de produtos, IDs de pedidos e o mercado de origem do ticket de suporte”, disse o serviço.
Antes disso, a gangue de cibercrime disse que havia roubado dados de dezenas de empresas usando tokens de autenticação da Anodot.
O grupo acrescentou que foi bloqueado por detecção baseada em IA ao tentar roubar dados de instâncias do Salesforce.
O grupo também foi associado a uma campanha generalizada de vishing que teve como alvo contas Microsoft Entra, Okta e Google SSO de funcionários e de agentes de terceirização de processos de negócios, com o objetivo de roubar dados de aplicativos SaaS conectados, incluindo Salesforce, SAP, Slack, Adobe, Atlassian, Zendesk, Dropbox, Microsoft 365, Google Workspace e outros, após comprometer contas corporativas de SSO.
Entre outros vazamentos atribuídos pela ShinyHunters nos últimos meses estão Google, Cisco, PornHub, a gigante de relacionamentos online Match Group, o serviço de vídeo Vimeo, a Rockstar Games, a empresa de segurança residencial ADT, a Comissão Europeia, a plataforma de desenvolvimento em cloud Vercel, a gigante de edtech McGraw Hill, a fabricante de dispositivos médicos Medtronic, a operadora de cruzeiros Carnival, a rede de lojas de conveniência 7-Eleven e a empresa de treinamento online Udemy.
Mais recentemente, a ShinyHunters invadiu duas vezes a gigante de tecnologia educacional Instructure.
Na segunda vez, explorou uma vulnerabilidade de segurança para alterar as páginas de login do Canvas de cerca de 330 faculdades e universidades e ameaçou vazar dados roubados no ataque anterior à Instructure caso um resgate não fosse pago.
A MANGO, outra grande varejista espanhola de moda, também enviou notificações de vazamento de dados a clientes em outubro, alertando que dados pessoais usados em campanhas de marketing foram comprometidos depois que seu fornecedor de marketing foi invadido.
No entanto, nenhum grupo de ransomware ou extorsão reivindicou o incidente da MANGO, e os autores do ataque seguem desconhecidos.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...