Czasem życie przypomina komedię, w której próba uniknięcia jednego problemu powoduje, że jej bohater natrafia na kolejny problem, który sam stworzył. Taki właśnie los spotkał dwa dni temu polską giełdę kryptowalut dgtmarket.
Wczoraj na Wykopie użytkownik bialekwciagarogale zwrócił uwagę na ciekawy przypadek nieumyślnego wycieku informacji z polskiej giełdy kryptowalut dgtmarket. Jej pracownikom udało się ujawnić część adresów email użytkowników, a okoliczności tego incydentu były dość paradoksalne.
Uwaga, Cloudflare
Mimo relatywnie niedużego ryzyka związanego z możliwością ujawnienia danych użytkowników na skutek ciekawego incydentu Cloudflare, niektóre firmy korzystające z usług CF postanowiły poprosić swoich użytkowników o zmianę haseł i kluczy API. Oczywiście nadmiar ostrożności nie jest szkodliwy i szczególnie w przypadku giełd BTC, gdzie poziom ryzyka ataków jest dużo większy (ze względu na motywację finansową atakujących) taka prośba była jak najbardziej uzasadniona. dgtmarket wysłał zatem odpowiednią komunikację do swoich użytkowników. Wszystko mogło się dobrze skończyć, gdyby nie jeden szczegół…
Pracownik wysyłający emaile pomylił się i adresy setki użytkowników wkleił do pola „do”, ujawniając każdemu z tej grupy adresy pozostałych klientów. Choć zakres incydentu był ograniczony prawdopodobnie tylko do wspomnianej setki osób, które jednocześnie stały się ofiarami wycieku danych jak i posiadaczami tego fragmentu bazy użytkowników, to jednak mówimy o giełdzie BTC, gdzie można spodziewać się, że jeśli tylko wśród tej setki był ktoś bardziej przedsiębiorczy niż pozostali, to wkrótce na ujawnione adresy mogą przychodzić emaile próbujące wyłudzić dane lub zainfekować komputery. Prawdopodobnie także nie wszyscy użytkownicy giełdy mogą chcieć, by fakt, że obracają kryptowalutami, był znany innym osobom.
Na szczęście giełda dgtmarket zachowała się w tej trudnej sytuacji bardzo przyzwoicie. Na blogu pojawił się opis i wyjaśnienie incydentu, a na nasze zapytanie w tej sprawie bardzo wyczerpującą odpowiedź otrzymaliśmy w ekspresowym tempie (41 minut mimo wieczornej pory). Wynika z niej, że źródłem problemu było użycie przez pracownika giełdy złego formularza – zamiast do „wysyłki masowej do wszystkich” użył formularza do „korespondencji indywidualnej” i po prostu zaznaczył ręcznie dużą grupę odbiorców. W aplikacji wprowadzono zmiany uniemożliwiające ponowne popełnienie podobnego błędu. Takiej obsługi incydentów, otwartego opisywania problemu i tempa komunikacji niejedna polska firma może pozazdrościć.
Komentarze
krótko mówiąc: KOMPROMITACJA
Mojego maila też to dotyczy… No, to oczywiste pytanie brzmi, kontynuować świecką tradycję kupowania książek do bibliotek przez firmę która popełniła błąd? Najlepiej jakieś przystępne dla szarego człowieka o BTC i o bezpieczeństwie korzystania ;)
Tylko 100 adresow I conajmniej 2 czytelnikow z3s w tej puli? Bo ja tez jestem, co za zaszczyt.
To teraz zażądaj przelania 5000zł zadośćuczynienia dobrowolnie, „a jeżeli nie to spotkamy się w GIODO i sądzie”.
Rynek BTC jest wbrew pozorom płytki u nas, a myślę że lista użytkowników BTC i Z3S są dość zbieżne ;)
Nie widzę problemu z takim wyciekiem. Mój mail też jedna firma podobnie ujawniła. Na szczęście mam jednorazowe aliasy do zakładania kont w sklepach i komunikacji z firmami. Każdy alias jest używany tylko w jednym miejscu. W przypadku wycieku zmieniam maila w ustawieniach konta, a spalony po prostu kasuję.
Oj tam, oj tam, zdarza się ;-)
Ja dzisiaj i wczoraj już dostałem pierwsze spam związany z Bitcoinem na adres z wycieku :(
Ciekawe czy to z tego wycieku i ile tego się jeszcze pojawi.
Nadawcy:
Bitcoin-BlackMarket apple-spxocqwrjefordffar bitcoinmarket.su
Bitcoin-Gold <Bitcoin-Goldxeoaxcxgegdq darkbtc.su>
Wewnątrz linki do stron hackingforums su oraz darkbtc su
Ktos też dostał coś podobnego.
Urząd Skarbowy już poszukuje właścicieli e-maili.
Nie tylko kleptowaluty ale i kleptomaile…
Całe szczęście nie mój klient ;)
Tak patrząc na 'cyber’ i 'law’ występujące razem, dopytam, czy DGT nie powinno poinformować dotkniętych wyciekiem klientów o jego wystąpieniu, zgodnie z nowelą ustawy o ADO?
„Wieczornej”? Chyba za dużo piszesz po rosyjsku, autorze :)
Normalne polskie słowo, jest w każdym słowniku.
Brunet wieczorną porą