Část údajů uživatelů e-shopu Rohlík.cz byla odcizena, e-shop předal případ k prošetření úřadům.
Český internetový supermarket Rohlík.cz řeší bezpečnostní incident, při kterém neznámý útočník pronikl do interního systému zákaznické podpory a odcizil část uložených dat. Mezi získanými informacemi jsou jména, e-mailové adresy, telefonní čísla i obsah komunikace zákazníků s operátory a virtuálním asistentem. Společnost tvrdí, že přihlašovací údaje a platební systémy zůstaly nedotčeny. Případem se již zabývají příslušné úřady.
K bezpečnostnímu incidentu došlo v systému, který Rohlík využívá ke komunikaci se zákazníky. Neoprávněná osoba získala přístup k internímu nástroji zákaznické podpory a stáhla z něj část dostupných informací. Společnost incident potvrdila v neděli 11. října a začala informovat dotčené zákazníky.
Podle vyjádření mluvčího společnosti Ondřeje Obergrubera se únik týká zejména identifikačních a kontaktních údajů a záznamů komunikace se zákaznickým servisem. V závislosti na způsobu, jakým zákazníci podporu kontaktovali, mohly být kompromitovány také přepisy telefonních hovorů, obsah chatů nebo soubory přiložené k jednotlivým požadavkům.
Únik zahrnuje také komunikaci s virtuálním asistentem
Závažnější rozměr incidentu představuje rozsah informací ukládaných v systémech zákaznické podpory. Podle upozornění, které Rohlík rozeslal zákazníkům, mohl útočník získat rovněž poznámky vytvářené virtuálním asistentem nebo informace o produktech, které zákazníci přidávali do nákupního košíku a následně z něj odebírali.
Součástí odcizené komunikace mohly být i údaje, které zákazníci při řešení objednávek sami poskytli. Typicky jde o doručovací adresy, čísla objednávek nebo další informace potřebné k vyřízení reklamace či požadavku.
Právě propojení běžných kontaktních údajů s obsahem předchozí komunikace představuje významné bezpečnostní riziko. Útočníci totiž mohou získané informace využít k přípravě přesvědčivých podvodných zpráv, které se budou odvolávat na skutečnou objednávku nebo předchozí kontakt se zákaznickou podporou.
Zveřejněné informace zatím neumožňují určit, kolika zákazníků se incident týká ani jak velký objem dat útočník získal.
Platební údaje a přihlašovací systémy podle Rohlíku zasaženy nebyly
Společnost zdůraznila, že napadení nezasáhlo její přihlašovací ani platební infrastrukturu. Zákaznické účty a nákupní aplikace podle jejího vyjádření fungují bez omezení.
To ovšem automaticky neznamená, že v odcizených záznamech nemohly být obsaženy citlivější informace. Pokud například zákazník během komunikace s podporou sám uvedl heslo nebo údaje o platební kartě, mohly se stát součástí kompromitovaného obsahu.
Rohlík uvedl, že zákazníky, u nichž takové riziko zjistil, kontaktoval individuálně.
Incident řeší NÚKIB i Úřad pro ochranu osobních údajů
Po odhalení neoprávněného přístupu společnost podle svého vyjádření zablokovala možnost dalšího stahování informací, odstranila zjištěnou bezpečnostní chybu a přijala dodatečná ochranná opatření.
Incident oznámila Národnímu úřadu pro kybernetickou a informační bezpečnost (NÚKIB) a Úřadu pro ochranu osobních údajů (ÚOOÚ).
Bezpečnostní událost současně otevírá otázku ochrany dat v zákaznických systémech, které stále častěji kombinují tradiční komunikační kanály s automatizovanými nástroji a umělou inteligencí. Tyto systémy mohou uchovávat nejen základní identifikační údaje, ale také historii interakcí, přílohy, shrnutí rozhovorů a další kontextové informace.
Z pohledu kybernetické bezpečnosti proto nestačí chránit pouze samotné uživatelské účty nebo platební brány. Stejně důležitá je kontrola přístupových oprávnění, zabezpečení interních aplikací a omezení množství dat, ke kterým mohou jednotlivé systémy a jejich uživatelé přistupovat.
Zákazníkům hrozí především cílené podvodné zprávy
Bezprostředním rizikem po podobných incidentech bývá phishing a jeho cílenější podoba, označovaná jako spear phishing. Podvodníci mohou prostřednictvím e-mailu, SMS nebo telefonátu vystupovat jako zákaznická podpora a využít znalost skutečných údajů k získání důvěry oběti.
V případě Rohlíku by mohlo jít například o falešné upozornění na problém s doručením nákupu, žádost o doplacení objednávky nebo výzvu k ověření zákaznického účtu. Jde o možné scénáře zneužití dat, nikoliv o potvrzené případy podvodů souvisejících s tímto incidentem.
Rohlík upozorňuje, že po zákaznících nikdy nepožaduje sdělení hesla ani údajů o platební kartě. Platební odkazy nebo instrukce k bankovnímu převodu zasílá pouze v případech, kdy se na tom se zákazníkem předem dohodne.
Zákazníci by proto měli věnovat zvýšenou pozornost nevyžádaným zprávám, neotevírat podezřelé platební odkazy a případné požadavky ověřovat přímo prostřednictvím oficiální aplikace nebo zákaznické podpory.
Příčina průniku ani přesný počet zasažených zákazníků zatím nebyly veřejně upřesněny. Rohlík uvádí, že přijal opatření proti opakování incidentu a dotčené uživatele průběžně informuje.
KOMENTÁŘE