고급 소매업체 Argos의 온라인 보안에 대한 새로운 의구심이 제기되었습니다. PC 프로 조사.
어제 우리는 그 사실을 밝혔습니다. Argos는 주문 확인 이메일을 통해 고객의 암호화되지 않은 신용 카드 번호와 보안 코드를 보내고 있었습니다., 잠재적으로 온라인 사기에 노출될 수 있습니다.
이제 동일한 확인 이메일에 웹 링크가 포함되어 있다는 사실이 밝혀졌습니다. 고객의 이름, 주소 및 신용카드 정보가 포함된 Argos의 보안 페이지로 고객을 안내합니다. URL 자체.
이 정보는 이메일을 통해 암호화되지 않은 상태로 전송되므로 네트워크 트래픽을 모니터링하는 사람은 누구나 데이터를 볼 수 있습니다.
따라서 해당 웹 링크를 클릭하는 고객은 자신의 신용 카드 번호에 대한 일반 텍스트 세부 정보를 자신의 계정에 남길 것입니다. 웹에서 사용하는 것과 같은 공유 또는 공용 PC에서 특히 문제가 될 수 있는 브라우저 웹 기록 카페.
또한 고용주가 유지 관리하는 서버 로그에 고객의 세부 정보가 저장됩니다. ISP 및 Argos의 자체 웹 분석 소프트웨어에 액세스하는 데 사용되는 URL을 기록합니다. 웹사이트.
이 결함은 지난 9월 Argos에 가구를 주문한 Dennis Publishing의 최고 기술 책임자인 Paul Lomax에 의해 발견되었으며 몇 달 후 그의 신용 카드 정보가 도난당했습니다. PC 프로 처음에 이메일에 결함이 있음을 알려준 독자 Tony Graham도 자신의 카드 정보를 가지고 있었습니다. Argos에 주문한 후 도난당했지만 Argos를 신용카드와 연결했다는 증거는 없습니다. 도난.
깨어진 “율법의 정신”
보안 전문가들은 아르고스의 시스템에 심각한 결함이 있다고 말합니다. “Argos는 '우리는 귀하의 세부 정보 보안을 중요하게 생각합니다'라고 말합니다. '우리는 귀하의 세부 정보에 대한 보안을 심각하게 생각하지 않습니다. 우리는 때때로 귀하의 지불 카드 세부 정보가 포함된 이메일을 보낼 수 있습니다.”라고 Sophos Labs 보안 전문가인 Paul Baccas는 말했습니다.
“이 정도의 세부 정보를 보내는 것은 나쁜 생각이고 제대로 구현되지 않았습니다. 이메일에 고객의 PII(개인 식별 정보) 및 PCI(결제 카드 정보)가 포함되어 있지만 그렇지 않을 수도 있습니다. 데이터 보호법 위반 – 법의 정신을 어겼으며 데이터 보호 위원이 잘 아는."
“이 정보는 이메일을 통해 암호화되지 않은 상태로 전송되므로 네트워크 트래픽을 모니터링하는 사람은 누구나 데이터를 볼 수 있습니다. 이메일이 웹메일이나 회사 계정으로 전송되는 경우 이 정보는 저장되어 해당 서버에 액세스할 수 있는 사람들이 액세스할 수 있습니다.”라고 덧붙였습니다.
“우리는 악당들이 네트워크 트래픽을 모니터링하고 웹 서버를 해킹한다는 것을 알고 있습니다. 악성 코드는 이미 컴퓨터에서 로컬에 저장된 이메일을 검색하여 PII를 수집합니다. 저는 직장에서 매일 이런 모습을 봅니다.”
아르고스 코멘트
보낸 성명서에서 PC 프로 Argos는 “고객 데이터의 보안을 매우 중요하게 생각하며 이를 충분히 인식하고 있습니다. 데이터 보호법의 요구 사항을 준수하고 이와 관련하여 시정 조치를 취했습니다. 문제.
“우리는 정보위원회 사무실에 연락 중입니다. 우리는 고객 커뮤니케이션에 대한 우리의 접근 방식을 그들에게 알렸으며 모든 적절한 조치를 취할 수 있도록 계속해서 긴밀히 협력할 것입니다.”
아르고스는 얼마나 많은 고객이 영향을 받았는지, 결함이 있는 이메일을 받은 고객에게 연락했는지 여부에 대해 언급을 거부했습니다.
자체 조사에 따르면 잘못된 이메일이 지난 9월부터 발송되었지만 문제는 지난달까지 해결되지 않았습니다.
