Son dönemde tüm dünyada e-ticaret hacminin artmasıyla birlikte online alışveriş platformları da siber saldırılara daha açık hale geliyor. Örneğin 3 ay kadar önce PandaBuy platformunun sahip olduğu 1,3 milyondan fazla müşteriye ait veriler iki tehdit aktörünü tarafından sızdırılmıştı. Ayrıca ‘BogusBazaar’ adı verilen 75.000 sahte çevrimiçi mağazadan oluşan devasa bir sahte e-ticaret ağı ortaya çıkarılmıştı. Şimdi ise Shopify’ın ana sunucularına sızıldığı ve veri çalındığı iddia ediliyor. Shopify ise olayı yalanlamakta.
E-ticaret platformu Shopify, bir tehdit aktörünün şirketin ağından çalındığını iddia ettiği müşteri verilerini satmaya başlamasının ardından bir açıklama yaptı ve olayı yalanladı. Firma şimdilik “Shopify sistemlerinde bir güvenlik olayı yaşanmamıştır. Bildirilen veri kaybına üçüncü taraf bir uygulama neden olmuştur. Uygulama geliştiricisi, etkilenen müşterileri bilgilendirecektir” demekle yetiniyor.
Bu açıklama, ‘888’ olarak bilinen bir tehdit aktörünün bu haftanın başlarında 2024 yılında Shopify’dan çalındığını iddia ettiği verileri satmaya başlamasının ardından geldi. Tehdit aktörü, bir kişinin Shopify kimliği, adı, soyadı, e-postası, cep telefonu numarası, sipariş sayısı, toplam harcama, e-posta aboneliği, e-posta abonelik tarihi, SMS aboneliği ve SMS abonelik tarihini içeren veri örneklerini paylaştı. 888 adlı tehdit aktörü daha önce de Credit Suisse, Shell, Heineken, Accenture India ve Unicef ile bağlantılı olduğu iddia edilen verileri satmış ya da sızdırmıştı.
Güvenlik analistleri, 888 tarafından son duyurulan veri sızıntısının doğruluğu ve güncelliği hakkında henüz bir araştırma yayınlamadılar. Verilerin doğrudan e-ticaret devinden değil, iş ortağı olan Evolve Bank and Trust’ı etkileyen yakın tarihli bir veri ihlali olayından kaynaklanmış olabileceği üzerinde duruluyor.
Evolve Bank and Trust, Shopify mağazalarının yönetici sayfalarında yerleşik olarak bulunan bir para yönetimi entegrasyonu olan Shopify Balance’ın destekleyici ortağı. Banka ayrıca Affirm banka kartlarının üçüncü taraf düzenleyicisi konumunda. Haziran ayının sonlarına doğru Evolve Bank, LockBit tarafından üstlenilen bir siber güvenlik olayından etkilendiğini doğrulamıştı. Banka, çalınan verilerin diğer verilerin yanı sıra isimler, sosyal güvenlik numaraları (SSN’ler), doğum tarihleri ve hesap detayları gibi hassas kişisel bilgileri içerdiğini açıklamıştı.