Hollis, lösenord inklusive medlemsinformation läckta

Concentric rings of blue and purple liquid paint swirling against a black background — Pawel Czerwinski / Unsplash

Kaffe-specialisten Hollis har drabbats av en läcka av medlemskunders personuppgifter, inklusive användar-id och lösenord. Läckan omfattar även tidigare medlemmars adresser och information för att kontrollera dubbla medlemskap, vilket kräver en granskning av hur lösenord skyddas och hur medlemsinformation hanteras.

Enligt information från Hollis bekräftade företaget den 16 oktober att obehörig åtkomst inträffat i medlemskapssystemet, vilket resulterade i att personuppgifter läcktes. Den uppskattade tidsperioden för läckan sträcker sig från 3 september till 7 oktober. Det finns en skillnad mellan datumet för bekräftelse av händelsen och den period då läckan antas ha inträffat.

Berörda kunder är de som registrerade sig för Hollis medlemskap före den 11 februari 2020. De läckta uppgifterna inkluderar användar-id, lösenord, namn, födelsedatum, telefonnummer, adress, e-post, information för att kontrollera dubbla medlemskap och annan service-relaterad information.

Företaget publicerade en ursäkt och information kring läckan på sin hemsida den 16 oktober. En uppdatering med ytterligare information om läckan tillkom den 19 oktober.

Kärnfrågan i denna händelse är hur lösenord lagras och skyddas. Det går inte att anta att användarnas lösenord läcktes i klartext enbart baserat på att lösenord ingick i den läckta informationen. Det är nödvändigt att bekräfta om de läckta värdena är i klartext eller haschade, samt vilket algoritm och salt som användes för att kunna bedöma den verkliga risken.

Även skadans omfattning måste bedömas med avseende på datamängd och antalet faktiska kunder som drabbats. Utöver detta måste hanteringen av tidigare medlemmars personuppgifter utredas.