Kradzież danych klientów w serwisie car-sharingowym potwierdzona na 248 osób

W wyniku ataku na wewnętrzną funkcję wyszukiwania członków poprzez API w serwisie car-sharingowym doszło do wycieku danych 248 klientów. Incydent miał miejsce 7 października o godzinie 22:13. Atak rozpoczął się o 22:13, a nieprawidłowości zostały wykryte o 22:23 tego samego dnia. Według komunikatu firmy, atak był realizowany poprzez wykorzystanie luki typu BOLA (Broken Object Level Authorization), polegającej na braku odpowiedniej weryfikacji uprawnień na poziomie obiektów API. Dane ujawnione obejmowały imiona i nazwiska, daty urodzenia, płeć, numery telefonów komórkowych, adresy e-mail, adresy zamieszkania, numery członków oraz częściowo numery prawa jazdy, w tym numery rejonu i rok wydania.

Nie ujawniono haseł ani danych płatniczych, takich jak numery kart czy kont bankowych. Firma szybko zareagowała, blokując adres IP atakującego oraz wszystkie nieautoryzowane ścieżki dostępu. Dodatkowo przeprowadzono rozszerzenie monitorowania logów oraz dodatkowe audyty bezpieczeństwa. Incydent został zgłoszony do Krajowego Centrum Cyberbezpieczeństwa (KISA) oraz Urzędu Ochrony Danych Osobowych. Do tej pory nie odnotowano wtórnych skutków ataku. Firma ostrzega klientów przed oszustwami mailowymi i SMS-owymi, które mogą prosić o dane osobowe czy finansowe.