По данным сервиса Have I Been Pwned, в результате утечки, связанной со сторонним поставщиком аналитических услуг, были скомпрометированы адреса электронной почты более чем 119 000 пользователей Vimeo.
Об инциденте впервые стало известно в апреле, когда группировка ShinyHunters добавила Vimeo в свой растущий список целей для шантажа по схеме «заплати или мы опубликуем», заявив, что им удалось извлечь сотни гигабайт данных, и пригрозив слить всё, если не будет достигнута договоренность.
Эта утечка уже состоялась, и сервис уведомлений об утечках Have I Been Pwned теперь называет цифры, касающиеся по меньшей мере части последствий: 119 000 уникальных адресов электронной почты, в некоторых случаях с именами.
На прошлой неделе Vimeo подтвердила факт кражи данных, но не уточнила, сколько именно пользователей пострадало. Компания возложила вину за инцидент на Anodot, стороннего поставщика аналитических услуг, используемого в её системах, и заявила, что злоумышленник получил доступ через эту интеграцию, а не путем прямого взлома Vimeo.
Anodot публично пока не выступала, однако на её странице статуса указано, что инцидент начался 4 апреля.
По заявлению Vimeo, украденные базы данных содержали много технической информации, названия видео, метаданные и некоторые адреса электронной почты клиентов. Компания особо подчеркнула, что не было скомпрометировано: фактическое видеосодержимое, действующие учетные данные для входа и информация о платежных картах.
Это не делает данные безвредными. Подобные списки адресов электронной почты используются повторно, перепродаются и применяются в фишинговых кампаниях годами, особенно если они содержат достаточно контекста, чтобы сообщение выглядело убедительным.
Сами злоумышленники утверждают, что взлом был более глубоким. В сообщении, которое удалось увидеть изданию The Register, ShinyHunters заявили, что «были скомпрометированы данные экземпляров Snowflake и BigQuery благодаря Anodot.com», добавив, что компания «не смогла достичь соглашения», несмотря на неоднократные попытки переговоров.
Vimeo заявляет, что устранила проблему в корне: отключила учетные данные Anodot, удалила интеграцию и привлекла внешнюю службу безопасности, уведомив правоохранительные органы. Расследование продолжается, и компания обещает информировать клиентов по мере поступления новой информации.
На данный момент цифры от Have I Been Pwned, похоже, восполняют пробел, оставленный первоначальным заявлением Vimeo, и подчеркивают знакомую проблему: вы можете защитить свои системы, но вашим поставщикам достаточно один раз допустить ошибку. ®
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Carly Page
