Понад 2,3 мільйона передплатників WIRED опинилися під загрозою фішингу та інших кібератак після публікації великого масиву персональних даних. Зловмисник заявляє, що має доступ ще до 40 мільйонів записів, пов’язаних із материнською компанією видання — Condé Nast.
Невідомий зловмисник під псевдонімом lovely виклав у відкритий доступ базу даних, що містить інформацію про 2,3 млн користувачів WIRED. Дані вже з’явилися в сервісі Have I Been Pwned, а незалежні дослідники підтвердили їхню автентичність.
За оцінкою компанії Hudson Rock, витік пов’язаний з обліковими даними, викраденими інфостілерами. Аналітики виявили збіг між логами заражень та записами з оприлюдненого дампу, що дозволило підтвердити реальність інциденту без взаємодії з постраждалою організацією.
У поточному витоку містяться електронні адреси, імена передплатників, домашні адреси та телефонні номери. Дослідники припускають, що зловмисник міг експлуатувати вразливості типу IDOR, перебираючи ідентифікатори користувачів через незахищені API або керуючі кінцеві точки.
За словами дослідників, критичні механізми керування акаунтами могли не мати належної перевірки паролів, що потенційно дозволяло перегляд або зміну даних користувачів у централізованій системі ідентифікації Condé Nast. Зловмисник також заявляє, що намагався контактувати з компанією, маскуючись під дослідника безпеки, перш ніж почати публічний витік.
Експерти попереджають, що постраждалі користувачі перебувають у зоні підвищеного ризику цільового фішингу, доксингу та навіть фізичних атак типу swatting. Відсутність офіційного коментаря з боку Condé Nast лише підсилює занепокоєння щодо масштабу компрометації.
