FitnessKPI oplyser, at en tredjepart fik adgang til en kundes konto ved hjælp af gyldige administratoroplysninger, og afviser påstande om, at angribere brød ind i virksomhedens underliggende systemer. Filer, der er blevet delt online, ser ud til at indeholde oplysninger om 1.848 medlemmer af Genae Écully, et fitnesscenter nær Lyon i Frankrig.
FitnessKPI-dataeksponeringen omfatter angiveligt kontaktoplysninger, medlemsoplysninger, bookinger og betalingsrelaterede oplysninger. Virksomheden siger dog, at adgangen forblev inden for tilladelserne for én kundekonto.
Denne forskel udfordrer påstanden om et bredere brud på platformen, samtidig med at den bekræfter, at nogen fik adgang til kundeoplysninger.
Virksomheden siger, at adgangen skete gennem en kundekonto
En forumbruger, der kalder sig Syrv4x, hævdede at have hentet medlemsdata fra FitnessKPIs databaser.
FitnessKPI siger dog, at virksomhedens undersøgelse af adgangslogfiler ikke fandt tegn på kompromittering af databasen, serverne eller infrastrukturen. Virksomheden siger også, at hændelsen ikke involverede udnyttelse af en sårbarhed i platformen eller API’et.
I stedet brugte nogen ifølge virksomheden en kundeadministrators brugernavn og adgangskode til at logge ind gennem den normale loginproces. Personen kunne derefter se de oplysninger, der var tilgængelige for kontoen.
FitnessKPI siger, at hændelsen ikke eksponerede andre kunders data eller oplysninger uden for den pågældende kontos autoriserede omfang. De tilgængelige oplysninger forklarer ikke, hvordan tredjeparten fik fat i loginoplysningerne.
Delte filer peger på medlemmer af Genae Écully
En analyse af de delte filer knyttede alle profiler i den undersøgte samling til Genae Écully. Det understøtter vurderingen af, at hændelsen omfattede ét fitnesscenter.
FitnessKPI leverer værktøjer til business intelligence og administration til fitnessvirksomheder. Genae bruger platformen til at analysere medlemsaktivitet, herunder til at identificere kunder, der muligvis vil opsige deres medlemskab.
De eksponerede filer indeholder angiveligt flere kategorier af oplysninger:
- Navne, e-mailadresser og telefonnumre
- Alder, fødselsdatoer, køn og postnumre
- Medlemsplaner og kontrakter
- Bookinger og andre aktivitetsoplysninger
- Betalingsbeløb, datoer, statusser og udestående saldi
Tilsammen kan disse oplysninger afsløre både personlige detaljer og mønstre i medlemmernes besøg i fitnesscentret.
Betalingsoplysninger indeholdt ikke bankoplysninger
Næsten 160.000 poster i de undersøgte filer vedrører betalinger hos Genae Écully. Det er betalingsrelaterede poster og ikke bevis på, at 160.000 personer er berørt.
Posterne omfatter fakturadatoer, betalingsdatoer, beløb og ubetalte saldi. Analysen identificerede dog ingen eksponerede bankoplysninger.
FitnessKPI siger også, at virksomheden ikke indsamler eller opbevarer medlemmernes kreditkortnumre, CVV-koder, IBAN-numre eller helbredsoplysninger. Ifølge virksomheden ligger disse kategorier derfor uden for de data, som platformen håndterer.
Medlems- og faktureringshistorik kan dog stadig give følsom information om individuelle kunder.
Detaljerede oplysninger kan muliggøre overbevisende svindel
FitnessKPI-dataeksponeringen kan give kriminelle tilstrækkelige oplysninger til at udgive sig for at være fitnesscentret i målrettede beskeder.
En svigagtig e-mail kan for eksempel henvise til et medlems faktiske abonnement og betalingshistorik. Disse korrekte oplysninger kan få en ellers mistænkelig anmodning til at fremstå legitim.
På samme måde kan nogen bruge oplysninger om udestående saldi til at oprette falske betalingspåmindelser. En besked, der henviser til en reel gæld, kan få modtageren til at følge svigagtige betalingsinstruktioner.
Dette er potentielle konsekvenser af eksponeringen. De tilgængelige oplysninger fastslår ikke, at kriminelle allerede har brugt oplysningerne i phishing-kampagner.
0 svar til “FitnessKPI-dataeksponering knyttes til fransk fitnesscenter, mens virksomheden afviser brud på platformen”