OpenSea hlásí narušení dat, varuje zákazníky před možnými pokusy o phishing

OpenSea – jedna z nejpopulárnějších platforem zaměřených na NFT – ohlásila únik dat ovlivňující osobní identifikační údaje (PII) zákazníků přihlášených k odběru firemního mailing listu.

Laxní vnější bezpečnost na vině

Narušení nebylo způsobeno samotnou OpenSea, vysvětlila firma. Spíše to bylo kvůli zaměstnanci Customer.io, platformy třetí strany najaté OpenSea pro správu komunikace na sociálních sítích.

Není to poprvé, co se platformy Customer Relationship Management (CRM) ukázaly jako trhlina v brnění pro krypto a NFT platformy. Ještě v březnu bylo podobné CRM – Hubspot – zodpovědné za téměř identické narušení dat postihující Circle, Swan Bitcoin, BlockFi a NYDIG.

Očekává se nárůst phishingových pokusů

OpenSea oficiálně oznámila, porušení v blogovém příspěvku zveřejněném jen před několika hodinami. V prohlášení společnost varovala uživatele, že množství odcizených dat je podezřelé, že je poměrně velké, a doporučila jim, aby byli extra ostražití.

Na Twitteru již zákazníci OpenSea hlásí podezřelé e-maily, telefonní hovory a zprávy na ně zaměřené, o kterých se předpokládá, že k nim dochází kvůli informacím ukradeným zaměstnancem Customer.io.

Moje informace byly narušeny díky OpenSea a Customer io? Lorde Jeebusi, pomoz mi. Přemýšlel jsem, proč mám v poslední době tolik spamových textů, telefonních hovorů a e-mailů. ?

— Metzilmazatl (měsíční jelen)??️‍? (@TheAscendant3) Června 30, 2022

Mluvčí OpenSea také potvrdil, že tým již kvůli porušení kontaktoval příslušné právní orgány. Na rozdíl od nedávných exploitů platforem souvisejících s blockchainem je tento útok zaměřen na zákaznická data – která jsou na rozdíl od tokenů přísně chráněna vládami po celém světě.

„Pokud jste v minulosti sdíleli svůj e-mail s OpenSea, měli byste předpokládat, že jste byli ovlivněni. Spolupracujeme s Customer.io na jejich probíhajícím vyšetřování a o tomto incidentu jsme informovali orgány činné v trestním řízení. Buďte prosím ostražití ohledně svých e-mailových praktik a buďte opatrní při jakémkoli pokusu vydávat se za OpenSea prostřednictvím e-mailu.“

OpenSea již začala rozesílat e-maily na adresy, u kterých bylo potvrzeno, že byly zasaženy, stručně vysvětluje, jak k narušení došlo, a varuje uživatele, aby se měli na pozoru.

Porušení dat OpenSea. pic.twitter.com/FEtDKsoHje

- eric.eth (@econoar) Června 30, 2022

V e-mailu je také zmíněno několik osvědčených postupů proti phishingu – spolu s připomenutím, že opensea.io je jedinou legitimní webovou doménou vlastněnou společností. Součástí je také varování, abyste se vyhnuli stahování příloh, zdůrazňující, že e-maily z OpenSea zpravidla nemají přílohy.

Dotklo se také hypertextových odkazů – ačkoli e-maily OpenSea mohou některé obsahovat, jakýkoli odkaz vyzývající uživatele k podpisu transakce v peněžence by měl být považován za podvodný.

Na závěr společnost OpenSea slibuje, že bude uživatele informovat o situaci, kdykoli to bude možné, a požaduje, aby jakékoli pokusy o phishing byly hlášeny jejich týmu podpory.