FitnessKPI sier at en tredjepart fikk tilgang til en kundes konto ved hjelp av gyldig administratorpåloggingsinformasjon, og avviser påstander om at angripere brøt seg inn i selskapets underliggende systemer. Filer som er delt på nettet, ser ut til å inneholde informasjon om 1 848 medlemmer av Genae Écully, et treningssenter i nærheten av Lyon i Frankrike.
FitnessKPI-dataeksponeringen skal omfatte kontaktinformasjon, medlemsopplysninger, bestillinger og betalingsrelatert informasjon. Selskapet sier imidlertid at tilgangen forble innenfor rettighetene til én kundekonto.
Dette skillet utfordrer påstanden om et mer omfattende plattformbrudd, samtidig som det bekrefter at noen fikk tilgang til kundeinformasjon.
Selskapet sier tilgangen skjedde gjennom en kundekonto
En forumbruker som kaller seg Syrv4x, hevdet å ha hentet ut medlemsdata fra FitnessKPIs databaser.
FitnessKPI sier imidlertid at selskapets undersøkelse av tilgangslogger ikke fant tegn til kompromittering av databasen, serverne eller infrastrukturen. Selskapet sier også at hendelsen ikke innebar utnyttelse av en sårbarhet i plattformen eller API-et.
I stedet brukte noen, ifølge selskapet, brukernavnet og passordet til en kundeadministrator for å logge inn gjennom den vanlige påloggingsprosessen. Personen kunne deretter se informasjon som var tilgjengelig for kontoen.
FitnessKPI sier at hendelsen ikke eksponerte data fra andre kunder eller informasjon utenfor det aktuelle kontoens autoriserte omfang. Den tilgjengelige informasjonen forklarer ikke hvordan tredjeparten fikk tak i påloggingsinformasjonen.
Delte filer peker mot medlemmer av Genae Écully
En analyse av de delte filene knyttet alle profilene i den undersøkte samlingen til Genae Écully. Dette støtter vurderingen om at hendelsen omfattet ett treningssenter.
FitnessKPI tilbyr verktøy for forretningsanalyse og administrasjon til treningsbedrifter. Genae bruker plattformen til å analysere medlemsaktivitet, blant annet for å identifisere kunder som kan komme til å si opp medlemskapet sitt.
De eksponerte filene skal inneholde flere kategorier av informasjon:
- Navn, e-postadresser og telefonnumre
- Alder, fødselsdatoer, kjønn og postnumre
- Medlemsplaner og kontrakter
- Bestillinger og andre aktivitetsopplysninger
- Betalingsbeløp, datoer, statuser og utestående saldoer
Til sammen kan disse opplysningene avsløre både personlige detaljer og mønstre i medlemmenes besøk på treningssenteret.
Betalingsopplysninger inneholdt ikke bankinformasjon
Nesten 160 000 oppføringer i de undersøkte filene gjelder betalinger hos Genae Écully. Dette er betalingsrelaterte oppføringer, og ikke bevis på at 160 000 personer er berørt.
Oppføringene inneholder fakturadatoer, betalingsdatoer, beløp og ubetalte saldoer. Analysen identifiserte imidlertid ingen eksponert bankinformasjon.
FitnessKPI sier også at selskapet ikke samler inn eller lagrer medlemmenes kredittkortnumre, CVV-koder, IBAN-numre eller helseopplysninger. Ifølge selskapet faller disse kategoriene derfor utenfor dataene plattformen håndterer.
Medlems- og faktureringshistorikk kan likevel gi sensitiv kontekst om individuelle kunder.
Detaljerte opplysninger kan muliggjøre overbevisende svindelforsøk
FitnessKPI-dataeksponeringen kan gi kriminelle nok informasjon til å utgi seg for å være treningssenteret i målrettede meldinger.
En falsk e-post kan for eksempel vise til et medlems faktiske abonnement og betalingshistorikk. Disse korrekte detaljene kan få en ellers mistenkelig forespørsel til å fremstå som legitim.
På samme måte kan noen bruke opplysninger om utestående saldoer til å lage falske betalingspåminnelser. En melding som viser til en reell gjeld, kan få mottakeren til å følge falske betalingsinstruksjoner.
Dette er potensielle konsekvenser av eksponeringen. Den tilgjengelige informasjonen fastslår ikke at kriminelle allerede har brukt opplysningene i phishing-kampanjer.
0 responses to “FitnessKPI-dataeksponering knyttes til fransk treningssenter mens selskapet avviser plattformbrudd”