עקיצה של 50$ בחשבון פייפאל ישראלי הובילה לחשיפת דליפת פרטי גולשים. בדקו אם אתם ברשימה.

אם נרשמתם לאתר הקופונים גרופאנץ’, ייתכן שהסיסמאות שלכם דלפו לרשת בשל מחדל אבטחה; עוד דלפו: פרטים אישיים של פונים לחברות שונות, ביניהן חברה להסרת שיער

הגולש שרון חדד גילה השבוע שחשבון הפייפל שלו נפרץ ושנגנבו ממנו חמישים דולר. חדד הגיש בקשה לפיצוי, אבל סקרנותו התעוררה: איך גילה הגנב את הסיסמה שלו? חיפוש של כתובת המייל שלו בגוגל הוביל לקובץ גיליון נתונים ובו שמו המלא, כתובת האימייל שלו, וסיסמה המשמשת אותו במספר אתרים, ביניהם פייפאל. חדד לא היה היחיד שהופיע בקובץ, המכיל 1,375 רשומות, כולם של משתמשי אתר הקופונים Groupunch.co.il, שחדד השתמש בו בעבר.

חדד פנה אלינו, ומהבדיקה שערכנו עולה שהסיסמאות המופיעות בקובץ לא פועלות עוד באתר גרופאנץ’. עם זאת, ובשל נטייתם של גולשים להשתמש באותן סיסמאות לשירותים שונים, חלק מהסיסמאות עדיין שמישות באתרים אחרים. בדיקה מדגמית שערכנו הראתה שניתן להשתמש בסיסמאות כדי לחדור לחשבונות ג’ימייל, וואלה מייל ופייפאל.

אם נרשמתם לאתר גרופאנץ’, חפשו את שמכם ברשימה המצורפת בסוף הכתבה (הסרנו ממנה את כתובות האימייל והסיסמאות). אם כן, מומלץ להחליף את הסיסמה בכל שירות שבו אתם עושים בה שימוש.

זה לא הכל: בבדיקה שערכנו גילינו באותו דומיין כמה וכמה קבצי נתונים של בתי עסק נוספים, ובהם פרטים אישיים של לקוחות. הקבצים מגוונים: חלקם עוסקים בסטטיסטיקות של משתמשים, חלקם – בפרטי לקוחות פוטנציאלים (“לידים”) שאנשי מכירות יצרו איתם קשר טלפוני. באחד הקבצים, המרכז לידים של עסק להסרת שיער, יש פירוט אינטימי של הפונים ושל הטיפולים שהם מעוניינים בהם, וכן הערות, מעליבות בחלקן, על הלקוחות (“עור כהה מלא שיער!”, “דפוקקקקקקקקקקק”).

מקור הדליפה – חברת “שיא טכנולוגיות”

המשותף לכל הקבצים הוא שכולם מופיעים באתר squares.co.il. המתחם רשום על שם שי פינקלשטיין, מנכ”ל שיא טכנולוגיות, המוכרת מערכת ניהול קשרי לקוחות בשם CSM. בין לקוחותיה מונה שיא טכנולוגיות חברות גדולות כמו בלוקבאסטר, הד ארצי, NMC יונייטד וטאוור רקורדס. גם אתר הקופונים גרופאנץ’, שפרטיו של חדד נלקחו ממנו, משתמש במערכת של שיא טכנולוגיות. הקבצים שהמערכת מייצרת, כך נראה, מופיעים באופן גלוי למנועי חיפוש ואינם מוגנים בסיסמה.

אבי עמר, שכתובת המתחם של גרופאנץ’ רשומה על שמו, מסר בתגובה: “זה אתר שלי שהקמנו לפני שנה וחצי, הם (החברה של פינקלשטיין, ע.ק) כבר שנה משכירים את הדומיין ממני ומפעילים אותו תחת החברה שלהם”.

לקוח ששמו הופיע בקובץ הסרת השיער העיד שפנה לשם לפני זמן רב – לפי הערה בגוף הקובץ, נקבע לו תור לסוף ספטמבר (לא מצוין איזו שנה). בקובץ אחר, שעוסק ככל הנראה בהקמת קבוצות נטוורקינג, מופיעים תאריכי פגישות מ-2006 ועד 2010. קובץ נוסף שייך לבית עסק שהשתמש ב-CSM לתקופת ניסיון בלבד. “עבדנו איתם תקופה קצרה, בערך שבועיים, ועזבנו”, מספרת בעלת העסק, שביקשה ששמה לא יוזכר. משמעות הדבר היא שבשיא טכנולוגיות לא רק שלא שמרו כראוי על אבטחת המידע של לקוחותיהם – הם גם לא מחקו קבצים של לקוחות שהפסיקו לעבוד איתם.

“הורדנו את הקובץ”, הודיע פינקלשטיין בערבות פנייתנו. “זה קובץ ישן שהיה על השרת – קובץ טסטים. בהעברה של בסיס הנתונים העברנו רשומות כדי לראות שהכל עובר כמו שצריך, היה שם קובץ טסטים שכנראה נשכח על השרת”.

זה לא הקובץ היחיד, יש שם יותר מעשרה קבצים של עסקים שונים עם המון מידע על אנשים.

פינקלשטיין ביקש לבדוק את הדברים, ומסר בהמשך תגובה מעודכנת: “הקבצים אשר הופיעו על השרת היו קבצי טסט, אשר עקב טעות אנוש לא הוסרו לאחר השימוש בהם. הקבצים הכילו מספר מועט של פרטים וכמובן לא הכילו פרטים רגישים, חברתנו נוקטת בכל צעדי האבטחה האפשריים ותמשיך לנהוג כך”.

גם אנחנו אשמים

הפרשה הזו מצביעה על מחדל אבטחה חמור מצד שיא טכנולוגיות, וכן על הקלות שבה כל אחד יכול להחזיק במאגרי מידע, גם אם הוא לא מגלה אחריות לאבטחתם. גם בפרשה הקודמת, שבה עשרות אלפי פרטי אשראי של ישראלים דלפו לרשת, מקור הדליפה היה אתר קופונים קטן. אבל גם מצידנו נדרשת אחריות: ראשית, אל תספקו פרטים אישיים לאתר שאתם לא סומכים עליו (בגרופאנץ’, למשל, אין אפילו מספר טלפון לפניות, רק כתובת אימייל). שנית, חשוב לוודא שלכל שירות משתמשים בסיסמה שונה (מי שמתקשה לזכור עשרות סיסמאות מוזמן להשתמש באותה סיסמה אך בשינויים קטנים, למשל password_paypal, password_gmail, וכן הלאה.

“חשבתי לשלוח מייל לכל התפוצה של האימיילים, שהסיסמאות שלהם נפרצו”, אמר חדד, קורבן הפריצה. אחרי שנכווה הוא מבקש להעביר מסר: “שאנשים יחליפו סיסמאות מדי פעם ולא ישתמשו באותה סיסמה לאתרים שונים כמו שאני עשיתי”.

רשימת הלקוחות שפרטיהם נחשפו:

להורדה (XLS, 109KB)

תגובות

• מה זה פה?

  חדר 404 של עידו קינן הוא מגזין תרבות דיגיטלית, טכנולוגיה וחיי רשת. הקליקו למידע נוסף »

  Room 404 by Ido Kenan is an Israeli based digital culture magazine. Click for more info in English »

• רוצה להפיק פודקאסט?

  

• המלצת סייברסייבר (מ)

  

• פרנסה

  

• לאחרונה בחדר 404

  • ילד, רובוט התמיכה הרגשית שלך עומד למות האחראי על האינטרנט בגלצ
  • שליחות קטלנית בלי ביטוח רפואי האחראי על האינטרנט בגלצ
  • ה-NFL מזייפים את אלישה קיז, קנדה אייר מאשימים את הצ’טבוט ומפסידים האחראי על האינטרנט בגלצ
  • שתיקטוק האחראי על האינטרנט בגלצ
  • איך מדרגים בעברית?
  • שקר הביטקוין, קיץ חם במקרר של שופרסל, הצופן היווני ועוד עדכוני סייברסייבר
  • זום מסתבכת עם העובדים והמשתמשים האחראי על האינטרנט בגלצ
  • אילן מאסק ממשיך לחטוף יוזרים בטוויטר
  • ברכות לסופרת בינה מ. על כניסתה לרשימת רבי המכר של קינדל
  • פסיקה עלולה לתת למו”לים שליטה מוחלטת על השאלת ספרים דיגיטליים בספריות
  • תומכי נטלי דדון מבצעים לינצ’טרנט שנמוך דירוג בבית-קפה הלא-נכון
  • זעם נגד תרגום המכונה האחראי על האינטרנט בגלצ
  • מתמונות חתולים לפוליצר – חדשות באזזפיד נסגרים האחראי על האינטרנט בגלצ
  • תיק-תק לחסום את טיקטוק האחראי על האינטרנט בגלצ
  • זו תרבות ביטול על כלום האחראי על האינטרנט בגלצ

•