V neděli internetový prodejce Mall.cz rozeslal zákazníkům e-mail o resetování jejich uživatelských hesel kvůli zaznamenanému pokusu o narušení bezpečnosti.
Podle informací na blogu Mall.cz se riziko uniklých osobních údajů týká pravděpodobně těch, kteří si na e-shopu založili účet před rokem 2015. Do roku 2012 byla hesla uložená ve starších databázích hashována metodou MD5, od listopadu téhož roku pak metodou SH1.
U starších účtů Mall.cz po útoku změnil heslo a převedl je na hashovací metodu bcrypt, kterou aktuálně používá u všech účtů.
Podle reakcí zákazníků v diskuzi pod článek, Mall resetoval hesla i klientům, kteří si je měnili relativně nedávno.
„Náš bezpečnostní tým složený ze zákaznické podpory, odborníků na IT bezpečnost a právníků problém urgentně řeší a zkoumá všechny potenciální možnosti zneužití přístupů,“ uvedl Mall.cz v e-mailingu.
Mezi zákaznické údaje, které mohly uniknout, patří jméno, příjmení, e-mail, heslo a u části uživatelů jde i o telefonní čísla. Údaje z platebních karet Mall neukládá.
Co si z toho odnést?
Aktuální útok na systémy Mall.cz a kompromitace osobních údajů zákazníků je varováním pro provozovatele e-shopů. Situace by pro e-shop byla výrazně příznivější, kdyby přepočítal hashe starých hesel, respektive dorovnal zabezpečení starších účtu na současnou úroveň.
Již od května příštího roku totiž nabývá účinnosti Nařízení o ochraně osobních údajů (GDPR). Pod ním hrozí organizacím za únik osobních údajů pokuty do výše 20 milionů eur nebo 4 % globálního ročního obratu.
Nové nařízení znamená pro e-commerce nejen vyšší nároky na ochranu sbíraných osobních dat, ale také na zajištění souhlasů s jejich ukládáním a využitím pro zasílání obchodních sdělení.
Zdroj: Mall.cz, ChannelWorld
