Японский производитель фигурок Good Smile Company сообщил об утечке данных в своём онлайн-магазине. По заявлению компании, посторонние получили доступ к информации о пользователях, сведениям о заказах, а также к базовым, но неполным данным банковских карт.
Именно оговорка про неполноту — ключевая деталь в сообщении Good Smile Company. Речь идёт о части карточных данных, которых недостаточно для проведения платежей в отрыве от остальной информации. Что именно из полного набора реквизитов осталось вне досягаемости злоумышленников, в исходном сообщении не уточняется.
Помимо карточных сведений, скомпрометированы персональные данные покупателей и информация об их заказах. Это стандартный набор для подобных инцидентов в интернет-магазинах: имена, контактные данные, адреса доставки и история покупок. Такой массив сам по себе ценен для мошенников — на его основе строят фишинговые рассылки и звонки, маскирующиеся под службу поддержки магазина или банка.
Good Smile Company известна в первую очередь фигурками по аниме и играм: линейка Nendoroid, масштабные модели и товары по лицензиям крупных франшиз. Магазин компании обслуживает покупателей по всему миру, поэтому круг потенциально затронутых клиентов не ограничивается одной страной. Сколько именно учётных записей затронуто, в сообщении не раскрывается.
Для покупателей это означает два практических момента. Первый: если карта привязана к аккаунту магазина, стоит отслеживать операции по ней и при подозрительных списаниях обратиться в банк — даже неполный набор данных в сочетании с утечкой из другого источника может использоваться злоумышленниками. Второй: письма и звонки, ссылающиеся на заказы в магазине Good Smile Company, требуют осторожности — знание номера заказа и имени получателя не гарантирует, что обращение исходит от самой компании.
Компания не сообщила, когда произошёл инцидент, каким способом атакующие получили доступ и предпринимает ли она принудительный сброс паролей. Также в заявлении нет информации о том, уведомлены ли платёжные организации и регуляторы. Эти детали обычно появляются в последующих сообщениях, когда завершается внутреннее расследование.
Инцидент с Good Smile Company вписывается в серию похожих историй у онлайн-магазинов: злоумышленники всё чаще целются не в платёжные шлюзы, а в базы клиентов, где сконцентрированы персональные и заказные данные. Для компании это репутационные издержки и возможные юридические последствия, для покупателей — напоминание, что данные, оставленные в любом магазине, могут однажды оказаться в чужих руках.
Good Smile Company пообещала информировать пользователей о развитии ситуации. Клиентам магазина разумно проверить свои аккаунты, обновить пароли и внимательно относиться к любой корреспонденции, где фигурируют данные их заказов.
