Empik zaatakowany? Ktoś nas chciał zrobić w balona

Wczoraj na forum dla cyberprzestępców pojawiła się oferta sprzedaży bazy danych rzekomo pochodzącej z Empik.com, która miała zawierać informacje o niemal 25 milionach użytkowników (lub 2,5 mln, format zapisu nie był do końca jasny).

Sprzedawca twierdził, że baza zawiera m.in. adresy e-mail, imiona, nazwiska, adresy zamieszkania, numery telefonów oraz historię zakupów klientów sieci Empik. By się uwiarygodnić, zamieścił niewielką próbkę wykadzonych danych, które łącznie miały zajmować 47 GB.

Empik natychmiast zareagował na te doniesienia, współpracując z zespołem CERT w celu weryfikacji potencjalnego incydentu bezpieczeństwa. W oświadczeniu firma poinformowała, że większość danych z udostępnionej próbki nie występuje w jej systemach, a format danych kontaktowych różni się od stosowanego wewnętrznie. Dodatkowo znaczna część opublikowanej próbki to publicznie dostępna lista produktów z katalogu Empik.com, niezwiązana z historią zakupów czy konkretnymi użytkownikami. Empik podkreślił również, że wśród opublikowanych danych nie znalazły się hasła, ich hashe, prawdziwa historia zakupów ani dane płatnicze.

Dane pochodzą z innego wycieku z 2020 roku

Dodatkową analizę przeprowadził serwis Zaufana Trzecia Strona, który jako pierwszy informował o tajemniczej ofercie z danymi klientów Empiku. Wniosek? Wszystko to jest jedną wielką mistyfikacją. 

Zespół Empiku potwierdził, że adresy e-mail z udostępnionego zestawu danych pokrywają się z adresami klientów Empiku. Co jednak ciekawe, jednocześnie wszystkie te adresy figurowały w wycieku danych z firmy Ledger z lipca 2020 roku, który zawierał również podobne dane teleadresowe. Porównanie danych wykazało zgodność imion, nazwisk, adresów i numerów telefonów z danymi z Ledgera, przy czym adresy e-mail w rzekomym „wycieku z Empiku” w większości zostały zmodyfikowane – różnią się jedną literą od tych z wycieku z Ledgera.

Dodatkowo analiza wykazała, że dane produktów w zamieszczonej próbce pochodzą z publicznie dostępnej listy produktów na stronie Empiku, ale rzekome daty zakupów, które są powiązane z danymi osobowymi i danymi reklamowymi, zostały sfałszowane.

Wszystko więc wskazuje na to, że „wyciek z Empiku” jest próbą oszustwa, w którym wykorzystano dane pochodzące z wycieku z Ledgera i uzupełniono sfabrykowanymi informacjami.

Empik rozesłał do redakcji piszących o rzekomym ataku nowe oświadczenie:

W związku ze wczorajszymi doniesieniami chcielibyśmy definitywnie uspokoić wszystkich użytkowników Empik.com. Natychmiast po identyfikacji potencjalnego zagrożenia zespół Empiku rozpoczął weryfikację podejrzeń wystąpienia incydentu bezpieczeństwa. Dziś możemy już z pewnością powiedzieć, że nie doszło do wycieku danych klientów z infrastruktury Empiku. Dane naszych klientów były i pozostają bezpieczne. 

Empik potwierdził, że oferowana na sprzedaż baza okazała się nieprawdziwa i została wykreowana w celu wyłudzenia pieniędzy od osób potencjalnie zainteresowanych jej kupnem.