Уязвимость в онлайн-магазине Express: данные клиентов оказались в открытом доступе
Крупный модный ритейлер Express устранил опасную уязвимость на своём сайте, которая позволяла посторонним увидеть детали заказов и личную информацию других покупателей. Об этом сообщает TechCrunch. Как минимум дюжина подтверждений заказов от Express была проиндексирована поисковыми системами и могла быть найдена в интернете.
Проблема заключалась в страницах подтверждения заказа. Любой, кто менял номер заказа в адресной строке, мог получить доступ к чужим данным. Среди раскрытой информации — имена клиентов, их телефоны, электронная почта, почтовые и платёжные адреса, список купленных товаров, а также тип и последние четыре цифры банковской карты.
Уязвимость обнаружил специалист по безопасности Рей Банго, расследовавший мошенническую операцию по счёту члена своей семьи. Когда он попытался проверить номер заказа через поисковик, то случайно наткнулся на чужой заказ со всеми данными. Банго не нашёл способа сообщить об этом компании и обратился к журналистам.
Как выяснилось, Express использует последовательные номера заказов. Это позволяло с помощью простых автоматизированных инструментов перебирать тысячи записей. После обращения TechCrunch ритейлер оперативно исправил ошибку, однако отказался комментировать, уведомляет ли он пострадавших клиентов и регуляторов, как того требует законодательство о защите данных.
«Мы серьёзно относимся к безопасности и конфиденциальности информации клиентов», — заявил глава маркетингового подразделения Express Джо Береан. При этом он не пояснил, как именно можно сообщать компании о подобных проблемах, и есть ли у Express техническая возможность проверить, не были ли данные клиентов скачаны злоумышленниками.
Это уже не первый случай за последние месяцы, когда из-за ошибок в настройках личные данные покупателей оказываются в открытом доступе. Ранее подобные инциденты происходили у других крупных розничных сетей. История с Express лишний раз напоминает, насколько хрупкой может быть цифровая безопасность даже у крупных игроков рынка.
