E-ticaret tedarikçisi Shopify, bir siber güvenlik olayı yaşamadığını doğruladı ancak veri kaybının üçüncü taraf bir uygulamadan kaynaklandığını belirtti. Shopify veri ihlalinin, karanlık web pazar yeri BreachForums’da ‘888’ takma adıyla faaliyet gösteren bilinen bir tehdit aktörü tarafından gerçekleştirildiği bildirildi.
Shopify Inc., bireylerin, perakendecilerin ve diğer işletmelerin kendi çevrimiçi mağazalarını veya perakende satış noktası web sitelerini kurmalarına olanak tanıyan entegrasyonların yanı sıra tescilli bir e-ticaret platformu sunan, Kanada merkezli çok uluslu bir şirkettir.
Shopify, kendi hesaplarından bir veri ihlalinin gerçekleştiğini reddederek, birden fazla medya kuruluşuna şu ifadeleri içeren bir açıklama yayınladı: “Shopify sistemleri bir güvenlik olayı yaşamadı. Bildirilen veri kaybı, üçüncü taraf bir uygulamadan kaynaklandı. Uygulama geliştiricisi, etkilenen müşterileri bilgilendirmeyi amaçlıyor.”
Ancak şirket, bahsettiği siber güvenlik olayının ayrıntılarını, üçüncü taraf uygulamanın adını veya etkilenen kişi sayısını belirtmedi.
Shopify siber güvenlik olayıyla ilgili ayrıntı vermezken, açıklamanın 4 Temmuz 2024’te gerçekleştiği iddia edilen son veri ihlaline atıfta bulunuyor olması muhtemel.
Tehdit aktörü ‘888’in, Shopify’dan çaldığı verileri BreachForums’da paylaştığı iddia edildi. Bu veriler kullanıcıların kişisel bilgileri, e-posta abonelikleri ve siparişle ilgili bilgilerden oluşuyordu.
Tehdit aktörü, 179.873 satır kullanıcı bilgisi içeren bir veri ihlali gerçekleştirdiğini iddia etti. Bu kayıtlar görünüşe göre Shopify Kimliği, Ad, Soyad, E-posta, Mobil, Sipariş Sayısı, Toplam harcama, E-posta abonelikleri, E-posta abonelik tarihleri, SMS aboneliği ve SMS abonelik tarihlerini içeriyor.
888 numaralı bilgisayar korsanının daha önce Credit Suisse, Accenture India, Shell, Heineken ve UNICEF gibi çok sayıda önemli veri ihlaliyle bağlantısı bulunmuştu.
İhlalin, Evolve Bank and Trust’ı etkileyen yakın tarihli bir veri ihlali olayından kaynaklanmış olması muhtemel.
Evolve Bank and Trust, Shopify mağazalarının yönetici sayfalarına yerleştirilmiş bir para yönetimi entegrasyonu olan Shopify Balance’ın destekleyici ortağıdır. Banka ayrıca Affirm banka kartlarının üçüncü taraf ihraççısıdır.
Evolve Bank and Trust Veri İhlali Shopify ile Bağlantılı mı?
Haziran ayının sonuna doğru Evolve Bank, LockBit tarafından iddia edilen bir siber güvenlik olayından etkilendiğini doğruladı. Banka, çalınan verilerin adlar, sosyal güvenlik numaraları (SSN’ler), doğum tarihleri ve hesap bilgileri gibi hassas kişisel bilgileri içerdiğini açıkladı.
Banka, iddia edilen Evolve veri ihlaline ilişkin resmi açıklamasında, “Evolve şu anda, Evolve perakende banka müşterilerinin ve finansal teknoloji ortaklarının müşterilerinin (son kullanıcılar) verilerini ve kişisel bilgilerini yasadışı olarak elde edip karanlık web’de yayınladığı görünen bilinen bir siber suç örgütünün karıştığı bir siber güvenlik olayını araştırıyor.” dedi.
Daha sonra, finansal firma Affirm Holdings, Evolve Bank and Trust Veri İhlali’nden kendisinin de etkilendiğini doğruladı. Firma, web sitesinde yer alan bir güvenlik bildiriminde, “Affirm, Affirm Card’da ihraç ortağı olarak hizmet veren üçüncü taraf bir satıcı olan Evolve’u içeren bir siber güvenlik olayının farkındadır. Sorunu aktif olarak araştırıyoruz. Daha fazla bilgi edindiğimizde etkilenen tüm tüketicilerle doğrudan iletişim kuracağız.” ifadelerini kullandı.
Veri ihlalinin ciddiyeti göz önüne alındığında, Shopify müşterileri uyanık olmalı ve kimlik avı girişimlerine ve kimlik hırsızlıklarına karşı dikkatli olmalıdır. Hesaplarını olağandışı etkinliklere karşı izleme, parolaları değiştirme, iki faktörlü kimlik doğrulamayı etkinleştirme ve kişisel bilgilerin paylaşılmasını isteyen kimlik avı e-postalarına ve mesajlarına karşı dikkatli olma gibi sağlıklı siber uygulamaları benimsemelidirler.
Medya Sorumluluk Reddi: Bu rapor çeşitli yollarla elde edilen dahili ve harici araştırmalara dayanmaktadır. Sağlanan bilgiler yalnızca referans amaçlıdır ve kullanıcılar bunlara güvenmelerinin tüm sorumluluğunu üstlenirler. Cyber Express, bu bilgilerin doğruluğu veya kullanılmasının sonuçları konusunda hiçbir sorumluluk kabul etmez.