Компьютерные системы американской компании InfoTrax Systems были взломаны более 20 раз в период с мая 2014 года по март 2016 года. Компания узнала о взломе только после того, как на сервере закончилось свободное место из-за архива, созданного злоумышленником.
Как сообщает Федеральная торговая комиссия США (FTC), взлом произошел в мае 2014 года, когда киберпреступник использовал уязвимости на сервере и на web-сайте одного из клиентов компании для получения удаленного контроля над сервером компании и доступа к конфиденциальной информации 1 млн клиентов.
FTC подала в суд на InfoTrax Systems за неспособность защитить персональные данные клиентов. Преступник тайно получал доступ к системе 17 раз в течение 21 месяца, а 2 марта 2016 года начал собирать персональную информацию клиентов, включающую имена, номера социального страхования, физические адреса, адреса электронной почты, номера телефонов, логины и пароли для учетных записей 4100 дистрибьюторов и администраторов в службе InfoTrax. Утечка данных также включала информацию о платежных картах некоторых клиентов (полные или частичные номера карт, CVV и даты истечения срока действия), а также информацию о банковских счетах, включая номера счетов и банковские коды.
Компания обнаружила компрометацию 7 марта 2016 года. После обнаружения утечки злоумышленнику удалось взломать системы компании по меньшей мере еще два раза. 14 марта 2016 года преступник похитил более 2300 уникальных номеров платежных карт, включая имена, физические адреса, CVV и даты истечения срока действия, а также другие платежные данные. Затем он внедрил еще один вредоносный код для сбора свежих данных с web-сайта клиента.
Согласно FTC, InfoTrax Systems не справилась с «инвентаризацией и удалением устаревших персональных данных, проверкой кода своего программного обеспечения и тестированием сети, обнаружением загрузки вредоносных файлов, адекватным сегментированием сети и внедрением средств защиты для обнаружения необычной активности». В результате, теперь компания должна внедрить комплексную программу защиты данных, а также каждые два года проводить проверку своих систем.