Australijska giełda kryptowalut naraziła 270 000 kont
Zaniedbania mogą czasami kosztować firmę jej reputację, zwłaszcza gdy błędy prowadzą do utraty pieniędzy. Niedawna sytuacja dotycząca BTC Markets, popularnej australijskiej giełdy kryptowalut, pokazuje, jak niebezpieczne jest powierzanie danych osobowych scentralizowanym dostawcom usług finansowych.
Spis treści:
- BTC Markets ujawnia nazwiska i adresy e-mail tysięcy użytkowników
- Co nagle, to po diable
BTC Markets ujawnia nazwiska i adresy e-mail tysięcy użytkowników
Anonimowość i bezpieczeństwo kryptowalut zawsze były jednymi z głównych aspektów przyciągających inwestorów detalicznych. Niestety, nawet najbardziej wyrafinowana kryptografia nie jest w stanie uchronić funduszy cyfrowych i powiązanych z nimi poufnych danych przed błędem ludzkim.
Najnowszym przykładem tak niebezpiecznego zaniedbania jest sytuacja dotycząca BTC Markets, australijskiej giełdy kryptowalut uważanej za największą w kraju. Według licznych skarg niezadowolonych użytkowników, które zalały platformy Reddit i Twitter, na giełdzie doszło do naruszenia bezpieczeństwa, które, jak przypuszczamy, zostało nieumyślnie spowodowane przez jednego z pracowników firmy. W rezultacie przypadkowo ujawniono ponad 270 000 nazwisk i adresów e-mail klientów.
Trzeba przyznać firmie, choć to niezbyt pocieszające w tej sytuacji, że nie próbowała ukryć wycieku danych i poinformowała swoich użytkowników o tym zajściu za pomocą oficjalnego konta na Twitterze, przepraszając za nieostrożność w obchodzeniu się z danymi użytkowników. Caroline Bowler, dyrektorka generalna BTC Markets, również szybko opublikowała tweeta z przeprosinami, a później wyjaśniła, że wyciek danych nastąpił, ponieważ giełda wykorzystuje zewnętrzny system e-mailowy do wysyłania wiadomości i biuletynów do klientów. 2 grudnia, czyli w dniu, w którym nastąpił wyciek danych, dział marketingowy firmy wysłał wiadomość o zbliżającym się wprowadzeniu waluty USDT oraz udziale w programie airdropu tokenów SPARK.
Co nagle, to po diable
Wyciek nastąpił, ponieważ członek personelu odpowiedzialny za przesłanie wiadomości uznał, że dobrym pomysłem byłoby wysyłanie biuletynów w partiach po 1000 e-maili na partię. Promocje takie są zwykle realizowane za pomocą ukrytych kopii lub poprzez wysyłanie indywidualnych wiadomości. Komuś się jednak najprawdopodobniej spieszyło, aby poinformować klientów o programie airdropu czy innych wydarzeniach. W każdym razie osoba ta postanowiła nie przejmować się faktem, że każdy odbiorca może zobaczyć 999 prawdziwych nazwisk i e-maili innych użytkowników. Najwyraźniej tworzenie i wysyłanie partii zostało zautomatyzowane, więc po zainicjowaniu procesu nadawca nie był w stanie go zatrzymać nawet po wykryciu błędu.
Mimo że żadne wrażliwe dane finansowe nie zostały ujawnione, znajomość prawdziwych nazwisk i adresów e-mail użytkowników jest wystarczająca, aby oszuści rozpoczęli przeciw nim ukierunkowaną kampanię phishingową. Giełda z kolei zapewniła, że incydent zostanie zgłoszony do Urzędu Australijskiego Komisarza ds. Informacji, niezależnego organu regulacyjnego ds. ochrony danych. Obiecano również, że przeprowadzone zostanie wewnętrzne dochodzenie i wprowadzone będą ulepszenia systemu bezpieczeństwa danych. W międzyczasie firma skontaktowała się ze wszystkimi użytkownikami, których dotyczył ten wyciek danych i zaleciła korzystanie z uwierzytelniania dwuskładnikowego w celu zwiększenia bezpieczeństwa ich kont kryptograficznych.