FitnessKPI uppger att en tredje part fick åtkomst till en kunds konto med giltiga administratörsuppgifter och avvisar påståenden om att angripare tog sig in i företagets underliggande system. Filer som delats online verkar innehålla information om 1 848 medlemmar på Genae Écully, ett gym nära Lyon i Frankrike.
FitnessKPI-dataexponeringen uppges omfatta kontaktuppgifter, medlemsinformation, bokningar och betalningsrelaterade uppgifter. Företaget säger dock att åtkomsten förblev inom behörigheterna för ett enda kundkonto.
Denna skillnad motsäger påståendet om ett mer omfattande intrång i plattformen, samtidigt som den bekräftar att någon fick tillgång till kundinformation.
Företaget säger att åtkomsten skedde via ett kundkonto
En forumanvändare som kallar sig Syrv4x hävdade att ha hämtat medlemsdata från FitnessKPI:s databaser.
FitnessKPI uppger dock att företagets granskning av åtkomstloggar inte visade något intrång i databasen, servrarna eller infrastrukturen. Företaget säger också att incidenten inte innebar att någon sårbarhet i plattformen eller API:et utnyttjades.
I stället använde någon, enligt företaget, en kundadministratörs användarnamn och lösenord för att logga in genom den vanliga inloggningsprocessen. Personen kunde därefter se information som var tillgänglig för kontot.
FitnessKPI säger att incidenten inte exponerade andra kunders data eller information utanför det aktuella kontots behörighetsområde. Den tillgängliga informationen förklarar inte hur den tredje parten fick tag på inloggningsuppgifterna.
Delade filer pekar på medlemmar hos Genae Écully
En analys av de delade filerna kopplade samtliga profiler i den granskade samlingen till Genae Écully. Detta stödjer bedömningen att incidenten omfattade en enda gymanläggning.
FitnessKPI tillhandahåller verktyg för affärsanalys och hantering till företag inom träningsbranschen. Genae använder plattformen för att analysera medlemmarnas aktivitet, bland annat för att identifiera kunder som kan komma att säga upp sina medlemskap.
De exponerade filerna uppges innehålla flera kategorier av information:
- Namn, e-postadresser och telefonnummer
- Åldrar, födelsedatum, kön och postnummer
- Medlemsplaner och avtal
- Bokningar och andra aktivitetsuppgifter
- Betalningsbelopp, datum, status och utestående saldon
Tillsammans kan dessa uppgifter avslöja både personliga detaljer och mönster i medlemmarnas gymbesök.
Betalningsuppgifter innehöll inga bankuppgifter
Nästan 160 000 poster i de granskade filerna rör betalningar hos Genae Écully. Det handlar om betalningsrelaterade poster och inte om bevis för att 160 000 personer har drabbats.
Posterna innehåller fakturadatum, betalningsdatum, belopp och obetalda saldon. Analysen identifierade dock inga exponerade bankuppgifter.
FitnessKPI uppger också att företaget inte samlar in eller lagrar medlemmarnas kreditkortsnummer, CVV-koder, IBAN-nummer eller hälsouppgifter. Enligt företaget ligger dessa kategorier därför utanför den data som plattformen hanterar.
Medlems- och faktureringshistorik kan ändå ge känslig information om enskilda kunder.
Detaljerade uppgifter kan möjliggöra övertygande bedrägerier
FitnessKPI-dataexponeringen kan ge kriminella tillräckligt med information för att utge sig för att representera gymmet i riktade meddelanden.
Ett bedrägligt e-postmeddelande skulle exempelvis kunna hänvisa till en medlems faktiska abonnemang och betalningshistorik. Dessa korrekta uppgifter skulle kunna få en annars misstänkt begäran att framstå som legitim.
På samma sätt skulle någon kunna använda uppgifter om utestående saldon för att skapa falska betalningspåminnelser. Ett meddelande som hänvisar till en verklig skuld skulle kunna få mottagaren att följa bedrägliga betalningsinstruktioner.
Detta är potentiella konsekvenser av exponeringen. Den tillgängliga informationen visar inte att kriminella redan har använt uppgifterna i nätfiskekampanjer.
0 svar till ”FitnessKPI-dataexponering kopplas till franskt gym medan företaget förnekar intrång i plattformen”