[AKTUALIZACJA] Wyciek danych klientów Empiku? Ktoś oferuje bazę na sprzedaż

Jak informuje nas czytelnik Arkadiusz, na jednym z cyberprzestępczych forów ktoś opublikował ogłoszenie sprzedaży bazy, która ma zawierać dane ponoć 24 milionów klientów Empiku. Oto screen dodanego ogłoszenia:

Sprzedawca do ogłoszenia dodał próbkę, która zawiera dane kilkudziesięciu klientów:

Jak widać, zawiera ona poniższe dane:

• Imię i nazwisko
• Numer telefonu
• Adres zamieszkania (dostawy?)
• E-mail
• Informacje dotyczące zamówień (liczba, daty)

Ani ogłoszenie, ani ujawniona przez sprzedawcę próbka nie zawiera haseł. Nazwy kolumn sugerują, że źródłem może być jakiś system związany z reklamami. Podejrzanie wysoka i bardzo dziwnie podana jest też liczba rekordów (czy na pewno chodzi o 24 miliony użytkowników? Część osób sugeruje, że to zapis stosowany w Indiach i oznacza 2,4 miliona…), ale być może w pełnej bazie, która ma ważyć 47GB po prostu są “duplikaty”, co dodatkowo wspierałoby teorię dotyczącą systemu reklamowego/trackingowego.

Oświadczenie Empiku

Skontaktowaliśmy się z Empikiem i otrzymaliśmy następujące oświadczenie dotyczące tego incydentu (wytłuszczenia nasze):

(…) nadal trwa weryfikacja wspomnianych wcześniej podejrzeń, jednak już teraz możemy powiedzieć, że zdecydowana większość z udostępnionych w próbce w rzekomym incydencie danych nie występuje w systemach Empiku. Co więcej, format danych kontaktowych z udostępnionej próbki nie jest spójny z formatem obowiązującym w wykorzystywanych przez nas wewnętrznych systemach. Ponadto znaczną część opublikowanej próbki danych stanowi lista produktów z katalogu Empik.com – są to informacje powszechnie dostępne, niezwiązane w żaden sposób z historią zakupów czy konkretnymi użytkownikami. Możemy również potwierdzić, że wśród nich nie znalazły się: hasła, hashe haseł, prawdziwa historia zakupów czy dane płatnicze.
Jednocześnie pragniemy podkreślić, że zgodnie z normą PCI DSS Empik nie przechowuje numerów kart płatniczych.

Na podstawie powyższego oświadczenia wcześniej wskazanych przez nas wątpliwości co do pochodzenia danych w próbce, wydaje się, że źródłem danych (i zaatakowanym systemem) może być infrastruktura innej firmy (pośrednika? programu partnerskiego/reklamowego?).

Mimo to, na wszelki wypadek, wszystkim klientom Empiku zalecamy — do momentu pełnego wyjaśnienia tego incydentu — założyć najgorszy scenariusz i wdrożyć prewencyjną zmianę hasła oraz oswoić się z myślą, że dane, które podaliście podczas zakupów na tej platformie stały się jawne i ktoś może ustalić Wasz:

adres zamieszkania na podstawie e-maila albo numeru telefonu albo nazwiska
numer telefonu na podstawie e-maila albo adresu albo nazwiska
e-mail na podstawie adresu lub numeru telefonu albo nazwiska
nazwisko na podstawie e-maila albo numeru telefonu albo adresu zamieszkania.

Aktualizacja (22.03.2025 15:39)
Dodaliśmy oświadczenie Empiku.

Kupowałem w Empiku — co robić, jak żyć?

Dane wyciekały, wyciekają i wyciekać będą. Jak nie z jednego sklepu to z drugiego.

O tym jak chronić się przed wyciekami danych (tymi, które już nastąpiły i tymi które niebawem nastąpią) oraz o tym jak sprawdzić, co w internecie krąży na nasz temat informowaliśmy w tym nagraniu, pokazując dziesiątki narzędzi, które mogą zminimalizować negatywne skutki wycieku naszych danych. Dziś, tylko do końca dnia z hasłem EMPIK możecie uzyskać dostęp do tego nagrania za 50% ceny — na obejrzenie macie 30 dni, więc na pewno zdążycie. Tutaj link bezpośrednio do koszyka.