شرکت Master of Malt از وقوع یک حادثه نشت داده‌های مشتریان خبر داد. بر اساس گزارش‌های منتشر شده، مهاجمان توانسته‌اند از طریق سرقت یک Application Key متعلق به Ribon (یکی از اپلیکیشن‌های Third-party پلتفرم BigCommerce) به اطلاعات حساس دسترسی پیدا کنند.
جزئیات فنی حمله و بازه زمانی
طبق اعلام BigCommerce، این نفوذ از تاریخ ۱۳ سپتامبر تا ۱۷ سپتامبر ۲۰۲۶ ادامه داشته است. مهاجمان با استفاده از اعتبارنامه‌های سرقت شده از اپلیکیشن Ribon، توانستند از طریق APIهای مجاز، کوئری‌های لازم برای استخراج داده‌های مشتریان را در محیط BigCommerce اجرا کنند. این دسترسی در نهایت در تاریخ ۱۷ سپتامبر با ابطال (Revoke) کلید compromised متوقف شد.
داده‌های افشا شده و محدوده اثرگذاری
اطلاعاتی که در این حمله لو رفته است شامل موارد زیر است:
- نام مشتریان
- آدرس‌های ایمیل
- شماره تلفن
- آدرس‌های پستی
نکته حائز اهمیت: اطلاعات مربوط به رمز عبور، جزئیات کارت‌های بانکی و سایر داده‌های پرداخت به دلیل ذخیره‌سازی در یک سیستم مجزا و ایزوله، مورد دسترسی مهاجمان قرار نگرفته است.
تحلیل زنجیره حمله (Attack Vector)
تحلیل‌های اولیه نشان می‌دهد که Master of Malt هدف اصلی این حمله نبوده است، بلکه هدف مهاجمان اپلیکیشن Ribon بوده که در بسیاری از فروشگاه‌های BigCommerce نصب شده است. این حادثه ریسک‌های موجود در یکپارچه‌سازی‌های Third-party در پلتفرم‌های تجارت الکترونیک را برجسته می‌کند؛ جایی که سرقت یک کلید دسترسی واحد می‌تواند منجر به دسترسی گسترده به محیط‌های چندین فروشنده مختلف شود.
توصیه‌های امنیتی برای مدیران SOC و مهندسین امنیت
برای جلوگیری از تکرار چنین حوادثی در محیط‌های SaaS و Cloud-Native، موارد زیر توصیه می‌شود:
- کنترل دقیق Scopeها: بازبینی منظم دسترسی‌های اپلیکیشن‌های Third-party و محدود کردن آن‌ها به حداقل دسترسی مورد نیاز (Principle of Least Privilege).
- چرخش اعتبارنامه‌ها: اجرای سیاست Rotation برای API Credentials به صورت دوره‌ای.
- مانیتورینگ API: نظارت مستمر بر فعالیت‌های غیرعادی API برای شناسایی سریع رفتارهای مشکوک یا استخراج غیرعادی داده‌ها.
- ابطال دسترسی‌های بلااستفاده: حذف فوری مجوزهای اپلیکیشن‌هایی که دیگر مورد نیاز نیستند.
در نهایت، این نشت داده‌ها می‌تواند منجر به افزایش حملات Phishing و Social Engineering هدفمند شود، زیرا مهاجمان اکنون به اطلاعات تماس واقعی مشتریان دسترسی دارند و می‌توانند با جعل هویت فروشنده یا ارائه‌دهندگان خدمات، اعتماد کاربران را جلب کنند.
