Verkkokauppa Poromagian asiakkaiden henkilötietoja on saattanut päätyä ulkopuoliselle tietoturvapoikkeamassa. Hyökkääjä pääsi käsiksi ympäristöön, jossa säilytettiin osittaista varmuuskopiota yhtiön asiakastietokannasta.
Poromagia kertoo suhtautuvansa tapaukseen niin, että se voi koskea kaikkia sen asiakkaita. Yhtiö ei tiedotteensa mukaan pysty selvittämään, keiden tiedot mahdollisesti päätyivät hyökkääjälle.
Varmuuskopio saattoi sisältää asiakkaiden nimiä, sähköpostiosoitteita, puhelinnumeroita, osoitteita ja tilaushistoriaa. Asiakastilin luoneiden kohdalla mukana saattoi olla myös salasanan tiiviste eli hash.
Maksukorttitietoja aineistossa ei Poromagian mukaan ollut, sillä yhtiö ei tallenna niitä.
Hyökkääjä poisti varmuuskopion. Poromagian selvityksen mukaan koko aineistoa ei kuitenkaan kopioitu. Yhtiö ei pysty varmistamaan, kuinka suuren osan hyökkääjä mahdollisesti sai haltuunsa tai keiden asiakkaiden tietoja siihen sisältyi.
Vanha salasana voi aiheuttaa lisäriskin
Poromagian mukaan useimpien asiakastilien salasanojen suojaamiseen on käytetty vahvaa PBKDF2-tiivistemenetelmää. Tileillä, joille ei ollut kirjauduttu vuoden 2021 jälkeen, oli kuitenkin käytössä vanhempi ja heikompi menetelmä.
Erityisesti yksinkertaisen salasanan selvittäminen tiivisteestä voi tällöin olla helpompaa. Riski kasvaa, jos sama salasana on käytössä myös muissa palveluissa.
Poromagia on nollannut kaikkien asiakastilien salasanat. Vanhat salasanat eivät enää toimi verkkokaupassa.
Yhtiö kehottaa asiakkaita asettamaan uuden salasanan itse Poromagian sivuston kautta. Jos samaa salasanaa on käytetty muualla, se kannattaa vaihtaa myös niissä palveluissa.
Asiakkaiden on syytä varautua myös tavallista uskottavampiin huijausviesteihin. Hyökkääjän hallussa voi olla esimerkiksi nimi, yhteystietoja ja tilaushistoriaa, joiden avulla Poromagiana tai muuna yrityksenä esiintyvä huijaus voidaan räätälöidä vastaanottajalle.
Poromagia varoittaa etenkin viesteistä, joissa pyydetään kirjautumaan palveluun, maksamaan tai luovuttamaan henkilötietoja. Yhtiön mukaan se ei kysy asiakkaan salasanaa sähköpostilla tai puhelimitse.
Asiasta tehdään rikosilmoitus
Poromagia kertoo katkaisseensa hyökkääjän pääsyn ja korjanneensa asetukset, jotka mahdollistivat sen. Yhtiö on lisäksi vaihtanut omia käyttöavaimiaan ja salasanojaan sekä ryhtynyt salaamaan kaikki varmuuskopiot.
Verkkokaupan tarkastuksessa ei Poromagian mukaan löytynyt merkkejä luvattomasta pääsystä itse kauppaan.
Yhtiö on ilmoittanut tapauksesta tietosuojavaltuutetun toimistolle ja kertoo tekevänsä siitä myös rikosilmoituksen poliisille.
Poromagia lähettää tapahtuneesta sähköpostia kaikille asiakkaille, joita asia saattaa koskea. Yhtiön hallituksen puheenjohtaja ja suurin omistaja pyytää tapausta anteeksi ja kertoo ottavansa siitä viime kädessä vastuun.
Poromagia on peleihin erikoistunut liike Helsingissä. Verkkouutiset kävi liikkeessä tutustumassa arvokkaisiin Pokémon-kortteihin viime keväänä. Voit lukea jutun tästä linkistä.