Pandora, znana na całym świecie marka biżuterii, padła ofiarą cyberataku, który umożliwił nieautoryzowany dostęp do danych osobowych części klientów. Firma poinformowała o incydencie za pośrednictwem wiadomości e-mail, zaznaczając, iż naruszenie bezpieczeństwa miało miejsce na zewnętrznej platformie trzeciej strony, a nie w jej wewnętrznych systemach.
Mark Weir, ekspert firmy Check Point, uważa, iż to dopiero początek problemów dla klientów sieci. – Detaliści tacy jak Pandora to łakome kąski dla cyberprzestępców. Konsumenci ufają znanym markom i bez wahania przekazują im swoje dane osobowe. To zaufanie obniża czujność i przestępcy doskonale o tym wiedzą.
Chociaż według oświadczenia Pandora nie doszło do wycieku informacji finansowych ani szczególnie wrażliwych danych, atak objął takie dane, jak imiona i nazwiska, numery telefonów oraz adresy e-mail. Marka zapewniła, iż incydent został opanowany, a systemy bezpieczeństwa zostały wzmocnione, by zapobiec podobnym sytuacjom w przyszłości.
Według Weira, choć wyciek dotyczy jedynie podstawowych danych, takich jak imię, e-mail czy data urodzenia, to wystarczy, by cyberprzestępcy rozpoczęli działania phishingowe, przeprowadzali ataki typu credential stuffing (czyli wykorzystywanie tych samych haseł na różnych serwisach), a choćby tworzyli fałszywe tożsamości. W cyberprzestrzeni to solidny punkt wyjścia do znacznie poważniejszych ataków – dodaje ekspert.
Słabe ogniwo: zewnętrzne integracje
Cyberatak miał miejsce przez zewnętrzną platformę – co, jak zauważa Weir, nie jest niczym wyjątkowym w branży detalicznej. – Integracje z systemami trzecimi to częsty, ale niedostatecznie monitorowany element infrastruktury. Gdy dochodzi do naruszenia w takim miejscu, nie zawsze wszystkie osoby dotknięte incydentem są o tym informowane.
Według danych raportu „Worldwide Wish List. The Most-wanted Luxury Brands and Items Around the World” („Światowa lista życzeń. Najbardziej pożądane marki i wyroby luksusowe na świecie”), Pandora znajdowała się na szczycie najbardziej wyszukiwanych marek biżuterii w Czechach i w Polsce w Internecie. Polacy z wynikiem ponad 166,6 milionów wyszukań, zajęli 2 miejsce na świecie, a za tą marką rozglądaliśmy się około 23,3 milionów razy (Rzeczpospolita, 14.12.2023)
Krytyka komunikacji Pandory
Mimo iż Pandora spełniła formalny obowiązek poinformowania klientów, jej działania spotkały się z krytyką za brak przejrzystości. – Reakcja firmy była niejasna i pozbawiona szczegółów. Według przepisów ICO (brytyjskiego urzędu ds. ochrony danych osobowych) zgłoszenie naruszenia powinno nastąpić w ciągu 72 godzin od wykrycia incydentu – zauważa Weir. – Tymczasem Pandora nie podała żadnej osi czasu ani nie ujawniła, kiedy zawiadomiono odpowiednie organy.
Klienci zostali odesłani do ogólnej strony pomocy, bez konkretnej instrukcji, jak chronić swoje dane. Zdaniem eksperta, komunikacja z poszkodowanymi powinna zawierać wyraźne wskazówki i odnośniki do wsparcia np. ze strony NCSC (National Cyber Security Centre).
Niska wrażliwość danych nie oznacza niskiego ryzyka. choćby podstawowe informacje, jeżeli trafią w niepowołane ręce, mogą mieć długofalowe konsekwencje dla bezpieczeństwa i zaufania klientów.
Co dalej?
Pandora stoi teraz przed wyzwaniem odbudowy zaufania klientów oraz dopracowania procedur bezpieczeństwa i komunikacji w sytuacjach kryzysowych. W dobie rosnącej liczby cyberzagrożeń, choćby największe globalne marki nie mogą sobie pozwolić na niedopatrzenia.
Klienci powinni zachować czujność szczególnie wobec wiadomości e-mail i SMS-ów z nieznanych źródeł – i rozważyć zmianę haseł oraz aktywację uwierzytelniania dwuskładnikowego tam, gdzie to możliwe.
