Des millions d'acheteurs Amazon et eBay ont des données exposées en ligne

Une base de données contenant près de huit millions d'enregistrements de ventes a été laissée exposée en ligne sans mot de passe par un fournisseur de logiciels utilisé par de petits détaillants dans l'UE.

Selon Comparitech, les documents de la base de données contenaient des enregistrements de ventes, y compris les noms des clients, les adresses e-mail, les adresses, les achats, les quatre derniers chiffres des numéros de carte de crédit et d'autres informations personnelles. Comme la base de données n'était pas protégée par un mot de passe, n'importe qui aurait pu trouver et accéder aux données qu'elle contenait.

L'application du fournisseur de logiciels a extrait les records de vente d'Amazon UK, Ebay, Shopify, PayPal et Stripe pour agréger les données de vente des détaillants afin de calculer les taxes sur la valeur ajoutée pour différents pays de l'UE. À l'heure actuelle, le nombre exact de détaillants et de clients touchés est encore inconnu.

Chercheur indépendant en sécurité Bob Diachenko et l'équipe de recherche en sécurité de Comparitech ont découvert le mois dernier le serveur AWS exposé contenant la base de données MongoDB. Diachenko a ensuite pris des mesures pour divulguer de manière responsable et rapide l'exposition aux données, mais des parties non autorisées peuvent avoir accédé aux informations contenues dans la base de données avant qu'elles ne soient finalement sécurisées.

Données exposées

Les enregistrements de ventes contenus sur le serveur ont été exposés pendant environ cinq jours, mais les cybercriminels auraient quand même réussi à voler les données des clients pendant cette courte période.

Parmi les données exposées, environ la moitié d'entre elles étaient sous la forme d'enregistrements de ventes d'Amazon UK et d'Ebay. Les enregistrements Shopify, PayPal et Stripe constituaient une plus petite partie des données ainsi que plusieurs autres marchés et systèmes de paiement plus petits.

Malheureusement pour les clients au Royaume-Uni, la grande majorité des dossiers de vente contenaient leurs informations personnelles, y compris les noms, adresses, e-mails, numéros de téléphone, commandes, paiements, numéros de carte de crédit expurgés, ID de transaction et de commande et liens vers les factures de Strip et Shopify. Un porte-parole d'Amazon a contacté Comparitech pour les informer que les adresses e-mail et les détails de la carte de crédit de sa boutique en ligne n'ont pas été révélés.

Bien que les enregistrements de ventes de 8 millions aient été exposés par le fournisseur de logiciels, cela ne signifie pas que 8 millions de personnes ont été affectées, car chaque enregistrement concerne une vente individuelle et un seul client peut représenter plusieurs ventes.

• Consultez également notre liste complète des meilleurs services VPN

Via Comparitech