Хакеры украли данные о владельцах оружия с сайта аукциона огнестрельного оружия

Как стало известно TechCrunch, хакеры взломали веб-сайт, который позволяет людям покупать и продавать оружие, раскрывая личности его пользователей.

Утечка раскрыла множество конфиденциальных личных данных более чем 550 000 пользователей, включая полные имена клиентов, домашние адреса, адреса электронной почты, незашифрованные пароли и номера телефонов. Также украденные данные якобы позволяют связать конкретного человека с продажей или покупкой конкретного оружия.

«С этими данными вы можете затем сделать публичный листинг… и разрешить его обратно на [data in the stolen database] так что у вас есть имя, адрес электронной почты и физический адрес и номер телефона [the seller] и, предположительно, местонахождение оружия», — сказал TechCrunch Трой Хант, эксперт по кибербезопасности, который управляет популярным репозиторием утечки данных и службой оповещения Have I BeenPwned. (Исследователь, обнаруживший брешь, поделился данными с Хантом, чтобы он мог загрузить их в Have I BeenPwned.)

В конце прошлого года исследователь безопасности, пожелавший остаться неизвестным, обнаружил сервер, содержащий данные, которые, как оказалось, использовались хакером (или группой хакеров), который использовал сервер для хранения украденных данных. Сервер не был защищен какой-либо системой, ограничивающей или контролирующей доступ к нему, поэтому исследователь загрузил данные и проанализировал их.

То, что он нашел, было данными, взятыми с веб-сайта GunAuction.com, сайта, который с 1998 года позволяет людям выставлять оружие на онлайн-аукцион.

Скриншот GunAuction.com



TechCrunch проанализировал образец украденных данных и связался со 100 людьми по электронной почте и с 60 по телефону. Из них 10 человек подтвердили достоверность данных, содержащихся в украденной базе данных. Однако неясно, насколько актуальны данные, учитывая, что для 25 адресов электронной почты наше сообщение возвращалось или не могло быть доставлено, а несколько телефонных номеров также были отключены.

Генеральный директор GunAuction.com Мэнни ДелаКруз подтвердил нарушение в электронном письме.

«Я могу подтвердить, что ФБР недавно связалось с нами по поводу возможной утечки данных, которая затронула нашу компанию», — говорится в заявлении ДелаКруза. «Нарушение, вероятно, раскрыло личную информацию клиентов, такую ​​как имена, адреса и адреса электронной почты. Однако мы хотим заверить наших клиентов в том, что у нас нет оснований полагать, что какая-либо финансовая информация была доступна во время взлома. Мы советуем нашим клиентам сохранять бдительность и следить за своими финансовыми счетами и кредитными отчетами на предмет любой подозрительной деятельности».

ДелаКруз добавил, что «мы намерены очень скоро проинформировать пострадавших пользователей».

Это не первый случай раскрытия секретных данных о владельцах оружия. В прошлом году Министерство юстиции Калифорнии по ошибке опубликовало личные данные, «включая имена владельцев оружия, дни рождения, адреса, возраст, дату покупки и тип разрешения на огнестрельное оружие, которым они владели, а также их идентификационные номера преступников, которые используются для отслеживания состояния и федеральные судимости», — сообщает Gizmodo.


У вас есть дополнительная информация об этом нарушении? Или аналогичные нарушения? Мы хотели бы услышать от вас. С нерабочего устройства вы можете безопасно связаться с Лоренцо Франчески-Биккьераи через Signal по телефону +1 917 257 1382, через Wickr, Telegram и Wire @lorenzofb или по электронной почте lorenzo@techcrunch.com. Вы также можете связаться с TechCrunch через SecureDrop.