הזמנתם מלון ברשת? ייתכן שהפרטים שלכם דלפו

חברת אבטחת המידעWebsite Planet חשפהכי יותר מ-10 מיליון קבצים עם פרטיים אישיים של משתמשים אוחסנו על שרת שהיה חשוף להאקרים במשך 7 שנים. המידע הכיל, בין היתר, שמות מלאים, כתובות מייל, מספרי תעודות זהות, מספרי טלפון ומספרי כרטיסי אשראי, כולל קוד CVV ותוקף הכרטיס.

מדובר בפרצה שהשפיעה על אתרי הזמנת המלונות הגדולים בעולם – בהם בוקינג (Booking), אגודה, אקספדיה (Expedia) והוטלס.קום. הבעיה היא בפלטפורמת להזמנת בתי מלון בשם Prestige Software אשר משמשת את אותם אתרים מוכרים ונתפסה כי היא מאחסנת את המידע בשרתים שאינם מאובטחים.

על פי הפרסום, Prestige Software אחסנה את הקבצים ב-Amazon Web Services – שירותי האחסון הענן של אמזון. סך הכל מדובר בקבצים במשקל 24.4 גיגה-בייט שנאספו מאז 2013 עד לחודשים האחרונים, מה שאומר שהרים של מידע היו חשופים. ב-Website Planet מציינים כי כל אתר שעבד עם מערכת הניהול של Prestige Software נפגע.

"העבירו את המידע לשרת בענן"

"החברה רכשה שרת מחברת אמזון ובו היא החזיקה היסטוריה של הזמנות אשר שומרת התוכנה שלהם, המותקנת אצל לקוחותיהם – בתי המלון. מכיוון שהשרת אותו קנו מחברת אמזון לא עבר מבדק אבטחת מידע, נותר ערוץ פתוח לאינטרנט המאפשר צפייה במידע בהינתן תוכנת סריקה היודעת לתקשר עם אותו ערוץ", מסביר עידו נאור מנכ"ל חברת Security Joes בשיחה עם "ישראל היום".

"מכיוון שהערוץ שכיח מאוד בקרב מומחי אבטחת מידע וישנן תוכנות פשוטות לתקשורת עם אותו ערוץ – מצאו חוקרים את השרת הפתוח לאינטרנט ושלפו את המידע. ליתר דיוק, 10 מיליון רשומות מידע, קרי הזמנות בבתי מלון, החל מ-2013 ועד היום", מוסיף נאור. "מה שנראה הוא שהם העבירו מהתוכנה (בטח לא בידיעת הלקוחות שלהם) את כרטיסי האשראי והפרטים שרשומים בכתבה לאיזה שרת בענן שהם – ככל הנראה – לא הגדירו אותו להיות חסום לאינטרנט וככה הוא בעצם נותר חשוף לכל מבקש".

בחברת אבטח המידע צ'ק פוינט ציינו כי עד כה לא ידוע על האקרים שניצלו את המידע החשוף לרעה, אם כי לא ניתן לשלול זאת. "המעבר המהיר של חברות רבות לעבודה מרחוק הביא לשימוש מוגבר בשירותי ענן במטרה לאפשר גישה גם מהבית למאגרי המידע ומשאבי החברה. אולם, ללא אמצעי אבטחה ראויים, מידע רגיש עלול להיות חשוף לאינטרנט – ובסופו של יום לפגוע בציבור לקוחות החברה", הסביר לוטם פינקלשטיין, מנהל מחלקת מודיעין סייבר.

"כאשר עושים שימוש שירותי ענן לטובת אכסון של מידע, בייחוד של מידע רגיש, יש צורך במומחי אבטחת וענן כדי להבטיח שהגישה אליו תתבצע ממקורות מורשים בלבד. במקרה הזה, כמו במקרים רבים מאוד אחרים, המידע לא אובטח כלל, והיה נגיש לכל מי שרצה בכך", הוסיף פינקלשטיין.

הזמנת מלון באחד מהאתרים? זה מה שממליצים בצ'ק פוינט

• מומלץ להשתמש באימות כפול לחשבון המייל וחיובי כרטיס אשראי אונליין. זאת על מנת להבטיח כי לא מתבצעות פעולות ללא ידיעתכם.



• מומלץ להיות עירניים יותר למתקפות דיוג (פישינג) שנושאות את הפרטים שמסרתם לחברות התיירות. מתקפות שכאלה עשויות להגיע בתקופה הקרובה.

• מומלץ לפנות לחברת כרטיס האשראי על מנת לוודא שהכרטיס מוגן בפני רכישות שלא אופייניות למשתמש.

• לעבור לשימוש בשירותי סליקה כגון PayPal אשר אינם חושפים את פרטי כרטיס האשראי ברכישות אונליין, ובכך להבטיח שגם אם נחשפו פרטים כמו במקרה זה, לא ניתן יהיה לבצע רכישה באמצעות פרטים אלו.