劉一澤 報道
家具電商FortyTwo的網站上個星期遭入侵,部分客戶的登錄電郵和密碼可能泄露。業者呼籲受影響的客戶立即重置密碼,並更換其他平台使用的相同密碼。
《聯合早報》取得FortyTwo發給受影響客戶的通告顯示,這次事件受影響的客戶不到3%。
FortyTwo說,此次入侵使用稱作“登錄抄錄”(login skimming)的盜用賬號手法,通過在網站上植入惡意代碼,網絡攻擊者可以在客戶輸入用戶名和密碼時,即時獲取他們所輸入的信息。
盡管公司的網站系統已采用“加鹽哈希算法”(salted hashing algorithm)的加密方式,確保網絡攻擊者無法還原系統中保存的密碼,但對于登錄抄錄這樣的手段,該防禦方式無濟于事。
客戶個人資料及信用卡信息沒被盜取
公司網絡安全團隊在本月23日發現惡意代碼後,立即采取行動阻止網絡攻擊者的訪問,並于次日向有關當局通報這起事件。
通告也提到,根據調查,網絡攻擊者只盜取了登錄電郵和密碼,並沒有得到客戶的其他信息,如姓名、地址,以及訂單記錄等。由于FortyTwo僅使用第三方支付平台來處理信用卡交易,因此系統中並未存儲客戶的信用卡信息,只記錄了交易編號和信用卡號碼的後四位數字。
目前,受影響的客戶已無法訪問賬戶,須要重置密碼後,才能重新登錄。
FortyTwo提醒客戶,如果使用相同的電郵和密碼來登錄其他網站或服務,爲安全起見也應該立即更換密碼。
莊姓公務員是FortyTwo的客戶,她的信息沒被盜,因此並未收到相關通知,但她對此表示不滿。“FortyTwo應該告知客戶,並讓我們檢查銀行賬戶有沒有被盜。目前我還沒看到他們在社交媒體平台發出任何貼文通告。”
她也提到,最近這種泄露信息的事件頻發,她收到過許多奇怪的短信,因此懷疑自己的手機號碼早已被濫用。
爲防止數據泄露,新加坡網絡安全局建議公衆定期更換密碼、使用強密碼,且避免在不同的賬戶使用相同密碼。企業也應該及時更新系統、軟件和應用程序,以修補現有漏洞。
個人資料保護委員會在答複本報詢問時表示,FortyTwo已經告知委員會,事件正在調查中。