Forever 21 מודה: פרטי כרטיסי אשראי של לקוחותינו דלפו

בחודש נובמבר 2017 הודיעה רשת האופנה הפופולרית Forever 21 על תקרית הפרת נתונים שנמצאת בחקירה. כעת ב-2018 אישרה החברה כי האקרים גנבו פרטי כרטיס האשראי מחנויותיה ברחבי ארה"ב במשך מספר חודשים במהלך 2017. עם זאת, טרם ידוע אם הפרצה השפיעה רק על ארה"ב או על חנויות נוספות ברחבי העולם.

למרות שעדיין לא פירטה את המספר הכולל של לקוחותיה המושפעים מדליפת הנתונים, החברה אישרה כי תוכנות זדוניות הותקנו במערכות התשלום בנקודות המכירה של החנויות ברחבי ארה"ב בזמנים שונים בתקופה שבין ה-3 באפריל 2017 לבין ה-18 בנובמבר 2017.

על פי החקירה של החברה, שעדיין נמשכת, התוכנה הזדונית נועדה לאתר ולגנוב נתונים רגישים של כרטיסי אשראי של לקוחות, כולל מספרי כרטיסי אשראי, תאריכי תפוגה, קודי אימות ובמקרים מסוימים גם שמות של מחזיקי הכרטיסים.

Forever 21 משתמשת בטכנולוגיית הצפנה מאז שנת 2015 כדי להגן על מערכות התשלומים שלה, אך במהלך החקירה, החברה מצאה שבכמה מסופים בחנויותיה נוטרלה ההצפנה, מה שאפשר להאקרים להתקין את התוכנה הזדונית.

לדברי החברה, לא כל מסופי הקופות בחנויות נדבקו בתוכנה זדונית ולא כל חנות הושפעה במהלך התקופה של דליפת הנתונים (קרוב ל-8 חודשים). עם זאת, במקרים מסוימים, נתוני כרטיסי האשראי שחויבו לפני תקופת הפריצה אוחסנו במערכת ולכן ייתכן שגם נתונים אלו דלפו.

"לכל חנות של 21 Forever יש מספר קופות, ובמרבית המקרים, רק קופה אחת או כמה מהתקני הקופות היו מעורבים, בנוסף, לחנויות 21 Forever יש מכשיר ששומר קבצי תיעוד של אישורי העסקה של כרטיסי תשלום שהושלמו", מסרה החברה כשהסבירה על האירוע.

"כאשר ההצפנה נוטרלה, נתוני כרטיס התשלום היו מאוחסנים בקבצי התיעוד. במספר חנויות שהיו מעורבות בתקרית הזו, הותקנה תוכנה זדונית המסוגלת לאתר את נתוני כרטיס התשלום באותם קבצים, כך שאם ההצפנה בוטלה ונתוני האשראי הוזנו גם לפני ה-3 באפריל 2017, הנוזקה יכלה לדלות את הנתונים".

החברה התחייבה ללקוחותיה כי כרטיסי התשלום שהוזנו באתר האינטרנט שלה (forever21.com) לא הושפעו מדליפת הנתונים.

מאחר שמערכות התשלומים מחוץ לארצות הברית פועלות באופן שונה, הן לא אמורות להיות מושפעת מפרצת האבטחה, אך הקמעונאית אמרה שהיא עדיין בודקת את האפשרות שחנויות שאינן בארה"ב הושפעו מהפרת הנתונים.

אמיר כרמי, מנהל הטכנולוגיות בחברת אבטחת המידע ESET בישראל, מסביר כי "עבור האקרים ועברייני רשת, נקודות מכירה בהן קיימות קופות הן פוטנציאל אדיר לגניבת פרטי אשראי, כאשר יכולים לעבור בהן פרטים של עשרות אלפי כרטיסים בשבוע. זאת בניגוד לתחנות עבודה רגילות בחברות או משתמשים ביתיים, אצלם בדרך כלל ניתן לגנוב פרטים של כרטיס אחד או שניים."

עוד מוסיף כרמי כי "התקרית הנ"ל מראה ומחזקת את החשיבות של ניהול ובקרה על רשת המחשבים, במיוחד כאשר היא מבוזרת על פני מיקומים ומדינות שונות. פעמים רבות מנהלי רשת מבטלים הגנות כדי לפתור תקלות נקודתיות, ואז שוכחים להחזיר את ההגנות לאחר מכן. אם הייתה מבוצעת בקרה תקינה של רשת המחשבים, לא היו נשארות קופות במצב של הצפנה מבוטלת, דבר שהיה מונע את דליפת הנתונים."

Forever 21 מייעצת ללקוחותיה לנקוט באמצעי זהירות על מנת להיות בטוחים, לשים לב לעסקאות האשראי שלהם ולהתריע לבנק על כל פעילות חשודה.

החברה הבטיחה להמשיך לעבוד עם חברות האבטחה כדי לשפר את אמצעי האבטחה שלהם.

'בחדרי' גם ברשתות החברתיות - הצטרפו!