סיפור של צעצוע – אפליקציית הצעצועים האלקטרונית של VTech נפרצה

Learning Lodge – אפליקציית הצעצועים האלקטרוניים של ענקית הצעצועים הסינית VTech – נפגעה מפריצה, ופרטיהם של 4.8 מיליון הורים ו-200 אלף ילדים נחשפו. פרצת האבטחה, שהתגלתה מוקדם יותר החודש, נחשבת כאחת מפרצות האבטחה הגדולות שתועדו אי-פעם.

לפי אתר Motherboard, המידע הגנוב של לקוחות החברה הסינית כלל שמות, סיסמאות, כתובות אימייל וכתובות מגורים של 4,833,678 משתמשים, כמו גם את שמם הפרטי, תאריך לידתם ומינם של ילדיהם. כדאי לציין כי המידע שדלף עלול לאפשר את קישור הילדים להוריהם, כך לפי מומחה שהעריך את נזקי הדלפת נתוני הצרכנים בעבור Motherboard. למעשה, מי שבישר על הפרצה לאתר היה ההאקר עצמו שלא הזדהה אבל כן מסר, ככל הנראה כהוכחה, מספר קבצים שמכילים את המידע החסוי שהשיג. לאחר קבלת ההודעה הודיעה Motherboard על הפרצה ל-VTech המופתעת.

יצרנית הצעצועים אישרה את דבר הפרצה במייל ששלחה ל-Motherboard בסוף השבוע, וציינה כי גורם זר אכן חדר למאגרי המידע של לקוחות החברה באפליקציה שלה. במייל ששלחה לאתר המתריע, כתבה גרייס פאנג, דוברת החברה: "לא היינו מודעים לגישה לא מורשה זו למאגרי המידע שלנו עד להודעתכם".

הפריצה הרביעית בגודלה בכל הזמנים

Motherboard מדווחים כי בתשובה לשאלתם על הסיבה לפריצה ולהשגת המידע האמור, ענה ההאקר כי הדברים נעשו ללא כל סיבה מיוחדת וטען כי את המידע שהשיג שיתף אך ורק עם Motherboard. ואולם אין כרגע כל אינדיקציה האם הדברים נכונים, או שמא מכר הפורץ את המידע הגנוב לגורמים נוספים שעלולים לעשות בו שימוש לרעה.

במייל ששלחה החברה ללקוחותיה נאמר כי נושא פרצת האבטחה נמצא בבדיקה ובלמידה, ושחקירה החלה מתנהלת סביב הנושא מיד עם חשיפתו. הענקית הסינית אף הבטיחה ללקוחותיה שהחקירה תהיה כרוכה גם בבדיקה מקפת של אתר האפליקציה והיישום, ובנקיטת כל הצעדים ההכרחיים כדי להגן על אתר האינטרנט שלה מפני מתקפה עתידית.

החברה הדגישה כי במאגר נתוני הלקוחות שלה לא נכללו מספרי ביטוח לאומי, או מספריהם של כרטיסי האשראי של הלקוחות, אך לצערה נאלצה החברה לאשר כי המידע הגנוב כלל – בנוסף לשמות הלקוחות, לכתובות המיילים שלהם וליתר הפרטים ה"יבשים" – גם מצבור של שאלות האבטחה של הלקוחות ואת התשובות הפרטיות שלהם, וכן את היסטוריית ההורדות של המשתמשים ואפילו את כתובת ה-IP שלהם.

אתר האינטרנט הידוע Have I Been Pwned, האמון על דיווח וזיהוי בנושאי אבטחת מידע ברשת, דיווח על המקרה ודירג אותו כפריצה הרביעית בגודלה בכל הזמנים.