Ритейлер оставил данные клиентов на старых серверах

В Канаде на сайте электронных объявлений были выставлены на продажу серверы обанкротившейся торговой сети NCIX. Исследователь безопасности обнаружил на них данные сотен тысяч клиентов, а также личную информацию основателя компании, сообщает портал ZDNet.

В августе специалист ИБ-компании Privacy Fly Трэвис Деринг (Travis Doering), изучая сайт объявлений Craiglist, наткнулся на предложение приобрести два старых сервера по цене $1500 за каждый. Через некоторое время Деринг съездил к продавцу, представившемуся как Джефф, и получил от него разрешение исследовать данные с серверов. Как оказалось, обнаруженная на них информация была лишь верхушкой айсберга. Джефф сообщил, что у него есть другое оборудование NCIX: более 300 персональных компьютеров из офисов и точек продаж, жесткие диски, 18 серверов Dell, а также два сервера Supermicro, которые ритейлер использовал для резервного копирования.

По словам Деринга, изучая серверы и жесткие диски, он нашел широкий спектр клиентской информации: учетные данные, счета-фактуры, фотографии ID, имена, домашние адреса, электронные адреса, номера телефонов, IP-адреса, некоторое количество незашифрованных паролей. На одном из серверов оказалась таблица с данными 258 тыс. платежных карт. Также исследователю удалось получить доступ к образу диска с компьютера, которым пользовался основатель NCIX Стив Ву (Steve Wu). Получить комментарий Ву журналистам не удалось.

На вопрос о том, откуда у него столько серверов, компьютеров и жестких дисков, продавец ответил, что помогает продавать их владельцу складского помещения, которое арендовала компания NCIX. Джефф утверждает, что торговая сеть однажды оказалась не в состоянии оплатить счет за аренду в размере $150 тыс., и оборудование ушло в счет долга.

Компания NCIX с 1996 г. занималась продажами компьютеров и программного обеспечения на территории Северной Америки. Но несколько лет назад дела стали идти хуже, и в итоге ритейлер вынужден был свернуть бизнес. Скорее всего, грубейшее нарушение конфиденциальности данных произошло после того, как NCIX обанкротилась и закрыла последний магазин в декабре 2017 г.