Niebezpiecznik

Jeśli posiadacie kartę IKEA Family to mogliście dziś otrzymać od IKEA niepokojący komunikat o tym, że mogło dojść do nieautoryzowanego logowania na Waszym koncie. Komunikat wysyłany jest SMS-em:

A także e-mailem z adresu “biuletyn@ikeafamily.eu”:

Podejrzewamy, że mogło dojść do nieautoryzowanego logowania na Twoim koncie IKEA Family. W celu ochrony danych zablokowaliśmy dostęp do Twojego profilu.

Konto możesz odblokować poprzez ustawienie nowego hasła, wystarczy, że skorzystasz z opcji: „Nie pamiętam hasła”.

Pamiętaj! Nie wybieraj swojego dotychczasowego hasła, stwórz nowe, które będzie silne. Nie używaj również haseł, z których korzystasz w innych serwisach.

Ale w żadnym z nich nie ma zbyt wiele szczegółów. Na stronie IKEA też brak szczegółowych informacji:

Niektórzy z naszych Czytelników zadali IKEA dodatkowe pytania o okoliczności incydentu, ale firma odpisuje tylko w ten, ogólny sposób:

Jesteśmy w trakcie ustalania okoliczności tego zdarzenia.  Bardziej wyczerpujące informacje prześlemy w późniejszym terminie mailem do osób, których dotyczył problem.

No to co się tam stało?

Generalnie, IKEA prosi niektórych klientów o odblokowanie konta poprzez reset hasła i zwraca uwagę, aby hasło nie było takie samo, jak w innych serwisach. To może sugerować, że konta klientów IKEA Family zostały “odwiedzone” przez ludzi, którzy analizują wykradzione bazy danych (por. Wyciek 21 milionów haseł) i sprawdzają, czy znajdujące się w nich Wasze dane, pasują jeszcze do jakichś kont. Np. do kont IKEA Family. Po co? Dobre pytanie…

Może ktoś potrzebował danych osobowych? A może chciał kupić w IKEI coś z rabatem, który mają tylko posiadacze tej karty? Nie jesteśmy użytkownikami karty IKEA Family (choć raz udało nam znaleźć słabość w tym programie IKEA Family i wyhackować darmową kawę). Może niektórzy mają tam jakieś dokumenty związane ze sprzedażą ratalną albo inne cenne dla przestępców dane? Jeśli macie pomysły, do czego ktoś może wykorzystać czyjeś konto IKEA Family, to dajcie znać.

Dzięki naszym Czytelnikom udało się ustalić, że dane jakie są na koncie to:

• Imie i Nazwisko,
• Data urodzenia,
• Plec,
• adres e-mail,
• Lokalizacja sklepu Ikea,
• Dane adresowe (Ulica, nr domu/mieszkania, miejscowosc, kod pocztowy)
• Telefon komórkowy
• Ilosc domownikow i dzieci,
• Stan cywilny,
• Rodzaj mieszkania (liczba pokoi, powierzchnia),
• Dane firmy (jesli konto jest firmowe),
• Orientacyjna data remontu jesli zamierzamy taki przeprowadzic

Historia zakupow w Ikea (jesli podawalismy karte Ikea Family podczas placenia) ktora zawiera: Data zakupu, Wartosc zakupów z paragonu, numer paragonu, Faktura, sklep, przelew i szczegoly co i ile zamowilismy.

Włamanie?

A może nie jest to zgadywanie haseł, a włamanie? Czekamy na odpowiedź IKEI na nasze pytania i kiedy je otrzymamy zaktualizujemy ten artykuł. Bez odpowiedzi ciężko jest potwierdzić hipotezę o wycieku z IKEA i odrzucić hipotezę, że wyciek danych użytkowników nastąpił z innych serwisów, ale ktoś po prostu ich hasłami skądś logował się do IKEA. Chyba, że:

• Jest na sali ktoś, kto ma kartę/konto IKEA Family, a nie dostał powiadomienia (wtedy wiemy, że firma nie informuje wszystkich, czyli raczej nie wyciekła im baza użytkowników, a na pewno nie wszystkich klientów).
• Jest na sali ktoś, kto ma w IKEA Family konto z unikatowym, nigdzie indziej nieużywanym hasłem, a powiadomienie dostał (wtedy wiemy, że sprawdzanie haseł by nie zadziałało, więc musi chodzić o włam IKEA)

Jeśli jest, niech się przyzna w komentarzu.

UPDATE: Wielu Czytelników, którzy twierdzą że mieli unikatowe hasła, nie otrzymało informacji od IKEI i mogą się wciąż tym hasłem zalogować. To sugeruje, że IKEA albo informuje tylko tych, na których konta ktoś zidentyfikowany jako włamywacz się zalogował, albo tych, których hasła pasują do haseł znajdujących się w wyciekach pozyskanych przez IKEĘ (robią tak Amazon i Facebook, co swoją drogą jest ciekawym problemem prawnym) — i niekoniecznie musiało tu już dojść do logowania się złej osoby na konto. Tylko że kilku Czytelników z unikatowymi hasłami jednak powiadomienia dostało — a tych haseł w wyciekach być nie mogło. Przez wykluczenie, wychodzi na to, że może chodzić o jakiś błąd w serwisie (np. mieszanie się sesji) lub kradzież danych. W komunikacie brak informacji o zgłoszeniu do PUODO, ale może też być na nie jeszcze za wcześnie. Firma ma na to 72 godziny.

Dostałem maila od IKEA — co robić, jak żyć?

Załóż, że wszystkie dane, które są widoczne po zalogowaniu do Twojego konta IKEA Family ma już ktoś inny. Zastanów się co może z nimi zrobić. Zmień też hasło — tak jak radzi IKEA — na unikatowe, czyli takie, które jest inne dla każdego z serwisów.

Niestety, czasem nawet jeśli Ty zabezpieczysz swoje konta, to Twoje dane i tak zostaną wykradzione. Na skutek dziury w serwisie lub nierzetelnego pracownika (który Twoje dane wyniesie i sprzeda na czarnym rynku).

Dlatego warto zapoznać się z drugim naszym webinarem, tym o Wyciekach Danych, w którym pokazujemy jak na taki wyciek się przygotować: co zrobić, żeby zmiminalizować jego negatywne skutki i — jeśli do wycieku dojdzie (a dojdzie!) — z jakich usług płatnych i bezpłatnych warto skorzystać, a z jakimi lepiej dać sobie spokój, bo wbrew temu co twierdzą ich twórcy, nie ochronią nas przed wyłudzeniami. Z nagraniem Webinara o Wyciekach Danych możecie się zapoznać klikając tutaj — z kodem “klopsiki” dostaniecie od nas zniżkę wyższą niż z Kartą IKEA — minus 50 PLN.

Aktualizacja 14.05.20:18

Aneta Gil, liderka ds. Komunikacji Zewnętrznej IKEA, przesłała nam poniższy komunikat, częściowo potwierdzający nasze domysły.

Potwierdzamy, że mogło dojść do nieautoryzowanego logowania na niektórych kontach IKEA Family. W celu ochrony danych użytkowników niezwłocznie zablokowaliśmy dostęp do wybranych profili. Pragniemy podkreślić, że dane naszych klientów są bezpieczne, a zespół IKEA pracuje intensywnie nad wyjaśnieniem okoliczności zdarzenia.

Według naszych wstępnych analiz doszło do zewnętrznego, automatycznego i masowego odpytywania bazy danych różnego rodzaju kombinacjami loginów i haseł. Sposób działania wskazuje, że sprawcy mogli posługiwać się bazą danych zawierającą informacje ujawnione podczas wcześniejszych wycieków danych z innych portali, których celem było ustalenie, czy są wykorzystywane przez Klubowiczów IKEA Family (tzw. „credential stuffing”).

Zablokowaliśmy dostęp do profili, dla których mogło dojść do nieautoryzowanego dostępu w wyniku wspomnianego ataku, a do ich właścicieli przesłaliśmy wiadomości e-mail i/lub SMS w zależności od posiadanych danych kontaktowych. Chcielibyśmy przy tym zaznaczyć, iż podczas określania grupy potencjalnie zagrożonych profili zastosowaliśmy pewien margines bezpieczeństwa, więc samo zablokowanie profilu oraz otrzymanie wiadomości od IKEA nie oznacza, że miał miejsce nieautoryzowany dostęp do danego profilu.

W przypadku wystąpienia problemów z zalogowaniem się do konta IKEA Family przy użyciu dotychczasowego hasła sugerujemy użytkownikom, aby skorzystali z opcji “Nie pamiętam hasła” dostępnej na stronie internetowej www.IKEAFamily.eu. Użycie tej funkcjonalności pozwala uzyskać całkiem nowe dane logowania.

Aby zwiększyć bezpieczeństwo swoich danych, stanowczo zachęcamy Klubowiczów do niewykorzystywania kombinacji, które służą do logowania w innych serwisach. Po dalszych analizach zdarzenia prześlemy kolejne informacje do naszych Klientów oraz opublikujemy stosowne oświadczenie na stronie internetowej www.IKEAFamily.eu.

W związku z incydentem złożyliśmy zawiadomienie o naruszeniu ochrony danych do Urzędu Ochrony Danych Osobowych.

Aktualizacja 14.05.20:18

Pani Aneta Gil udzieliła nam dodatkowych informacji. W oświadczeniu przesłanym do redakcji czytamy:

Według naszych analiz doszło do zewnętrznego, automatycznego i masowego odpytywania naszej bazy różnego rodzaju kombinacjami loginów i haseł. Sposób działania wskazuje, że sprawcy mogli posługiwać się bazą danych zawierającą informacje ujawnione podczas wcześniejszych wycieków danych z innych portali. Metoda ta nazywana jest „credential stuffing”. Zgodnie z naszymi ustaleniami kulminacja nieuprawnionych działań nastąpiła w dniach 29-30 kwietnia, jednak już wcześniej zostały odnotowane podobne ruchy o mniejszej intensywności– w kilku podejściach od połowy września ubiegłego roku. Na wszelki wypadek, dbając o bezpieczeństwo naszych klientów, nasze działania obejmują wszystkie konta, których te zdarzenia potencjalnie mogły dotyczyć.

Atak został przeprowadzony przy użyciu zaawansowanych środków (w tym z wielu tysięcy odrębnych adresów IP za pośrednictwem połączeń VPN) i został zaprojektowany w taki sposób, aby w możliwie najmniejszym stopniu odbiegać od naturalnego zachowania poszczególnych klubowiczów na stronach www.IKEAFamily.eu.

Podczas ataku sprawcy sprawdzali, czy posiadane przez nich kombinacje loginów i haseł są wykorzystywane przez klubowiczów IKEA Family do logowania do konta IKEA Family, a stosowany mechanizm był nakierowany na wytypowanie kont z aktywnymi elektronicznymi kodami rabatowymi. Sprawcy pobrali część aktywnych kodów rabatowych z wybranych przez siebie kont IKEA Family i niektóre wykorzystali podczas zakupu produktów w sklepach stacjonarnych IKEA, po otwarciu sklepów IKEA w maju br.

Z naszej analizy wynika, że celem sprawców były głównie podstrony z kodami rabatowymi IKEA. Jednak nie możemy wykluczyć, że sprawcy mieli dostęp do innych danych należących do naszych klientów, w tym danych niezbędnych do założenia konta: imię, nazwisko, płeć, adres, dataurodzenia, preferowany sklep, numer karty IKEA Family, znany  już sprawcy adres email.

Zależnie od aktywności klientów zakres danych, które poznali sprawy mógł obejmować również:

• historię transakcji przy użyciu karty IKEA Family (datę, kwotę, metodę płatności, zakupione
  produkty, sklep, numer paragonu, fakt wystawienia faktury);
•  numer telefonu, ilość domowników (w tym dzieci), stan cywilny, informacje o warunkach
  mieszkaniowych klientów,
•  dane firmy, w przypadku jednoosobowych działalności gospodarczych (NIP, nazwa firmy,
  adres), preferencje dotyczące otrzymywania ofert dla przedsiębiorców,
•  planowane zmiany w urządzaniu domu lub na potrzeby firmy,
• preferencje marketingowe (udzielone zgody, zgłoszone sprzeciwy), ulubione produkty i galerie
  zdjęć, nadesłane zdjęcia do galerii (w tym wizerunek klienta, jeśli był widoczny na
  nadesłanych zdjęciach), opinie na temat produktów.

(…)

Anulowaliśmy wszystkie aktywne i niewykorzystane kody rabatowe zapisane na kontach
dotkniętych naruszeniem, aby uniemożliwić sprawcom ich dalsze wykorzystanie. W ich miejsce
przyznaliśmy klubowiczom nowe, opiewające na tę samą wartość.

(…)

Pod koniec ubiegłego tygodnia, zawiadomiliśmy o stwierdzonym problemie Prezesa Urzędu Ochrony
Danych Osobowych przed upływem terminu 72 godzin od stwierdzenia naruszenia.

IKEA rekomenduje zmianę hasła w systemie na mocne i unikalne.