نیمن مارکوس نقض اطلاعات پس از هک حساب Snowflake را تایید کرد

خرده‌فروش لوکس نیمان مارکوس تأیید کرد که پس از تلاش هکرها برای فروش پایگاه داده شرکت که در حملات اخیر سرقت اطلاعات Snowflake به سرقت رفته بود، دچار نقض اطلاعات شده است.
در یک اعلان نقض داده‌ها که با دفتر دادستان کل مین ارسال شده است، این شرکت می‌گوید که این نقض بر 64472 نفر تأثیر گذاشته است.
“در ماه مه 2024، ما متوجه شدیم که بین آوریل و مه 2024، یک شخص ثالث غیرمجاز به یک پلتفرم پایگاه داده مورد استفاده توسط Neiman Marcus Group دسترسی پیدا کرد. بر اساس تحقیقات ما، شخص ثالث غیرمجاز اطلاعات شخصی خاصی را که در پلت فرم پایگاه داده ذخیره شده بود، به دست آورد. “نیمان مارکوس در یک اعلان نقض داده هشدار می دهد.
“انواع اطلاعات شخصی که تحت تاثیر قرار می‌گیرند بر حسب افراد متفاوت بوده و شامل اطلاعاتی مانند نام، اطلاعات تماس، تاریخ تولد و شماره(های) کارت هدیه نیمان مارکوس یا برگدورف گودمن (بدون پین کارت هدیه) می‌شود.”
Neiman Marcus گفت که آنها دسترسی به پلتفرم پایگاه داده را با شناسایی نقض، غیرفعال کردند، با کارشناسان امنیت سایبری بررسی کردند و به مجریان قانون اطلاع دادند.
در حالی که شماره کارت هدیه نیمان مارکوس و برگدورف گودمن در نقض فاش شد، داده‌ها شامل پین نبودند، بنابراین کارت‌های هدیه همچنان باید معتبر باشند.
نیمن مارکوس در بیانیه ای برای BleepingComputer تایید کرد که داده ها از حساب Snowflake آنها به سرقت رفته است.
Neiman Marcus Group (NMG) اخیراً متوجه شد که یک شخص غیرمجاز به یک پلتفرم پایگاه داده ابری مورد استفاده توسط NMG دسترسی پیدا کرده است که توسط شخص ثالثی به نام Snowflake ارائه شده است.
مرتبط با حملات سرقت اطلاعات Snowflake
اعلان‌های نقض داده‌ها پس از آن منتشر می‌شوند که یک عامل تهدید به نام «Sp1d3r» داده‌های نیمان مارکوس را برای فروش در یک انجمن هکری به قیمت ۱۵۰ هزار دلار، که اولین بار توسط HackManac به اشتراک گذاشته شده بود، قرار داد.
این عامل تهدید پشت فروش داده‌های شرکت‌های متعددی است که در حملات اخیر سرقت داده‌های Snowflake نقض شده‌اند.
در حالی که بازیگر تهدید به Snowflake در این پست اشاره نکرد، “Raped Flake” را درج کرد، که به ابزاری سفارشی به همین نام اشاره دارد که عوامل تهدید برای سرقت داده ها از پلت فرم پایگاه داده ایجاد کرده اند.

داده های Neiman Marcus برای فروش در یک انجمن هک منبع: HacManac
به گفته این بازیگر تهدید، داده‌های دزدیده شده شامل مواردی بود که نیمان مارکوس به اشتراک گذاشته بود، به علاوه چهار رقم آخر شماره‌های تامین اجتماعی، تراکنش‌های مشتریان، ایمیل‌های مشتریان، سوابق خرید، داده‌های کارمندان و میلیون‌ها شماره کارت هدیه.
این بازیگر تهدید ادعا می کند که قبل از پست انجمن سعی در اخاذی از شرکت داشته است و اظهار داشت که این شرکت از پرداخت درخواست اخاذی خودداری کرده است.
با این حال، بلافاصله پس از انتشار پست در انجمن، متعاقباً همراه با نمونه داده‌ها حذف شد، که نشان می‌دهد شرکت ممکن است مذاکره با عوامل تهدید را آغاز کرده باشد.
165 ارگ احتمالاً تحت تأثیر حملات دانه‌های برف قرار گرفته‌اند
تحقیقات مشترک SnowFlake، Mandiant و CrowdStrike نشان داد که یک عامل تهدید که با نام UNC5537 ردیابی می‌شود، از اعتبارنامه‌های مشتری دزدیده شده برای هدف قرار دادن حداقل ۱۶۵ سازمانی استفاده می‌کند که حفاظت از احراز هویت چندعاملی را در حساب‌های خود پیکربندی نکرده بودند.
Mandiant همچنین حملات Snowflake را به یک عامل تهدید با انگیزه مالی که از ماه می 2024 با نام UNC5537 ردیابی می‌شود، مرتبط دانست. این عامل تهدید به دلیل نقض سازمان‌ها، سرقت داده‌ها و تلاش برای اخاذی از شرکت‌ها برای پرداخت باج برای عدم انتشار یا افشای داده‌ها شناخته شده است. دیگر عوامل تهدید
در حالی که Mandiant اطلاعات زیادی را در مورد UNC5537 به طور عمومی فاش نکرده است، BleepingComputer دریافته است که آنها بخشی از جامعه ای از عوامل تهدید هستند که اغلب از همان وب سایت ها، تلگرام و سرورهای Discord بازدید می کنند.
برای نفوذ به حساب‌های Snowflake، عامل تهدید از اعتبارنامه‌هایی استفاده کرد که توسط بدافزارهای سرقت اطلاعات به سرقت رفته بود که مربوط به سال 2020 بود.
Mandiant گفت: “حساب های تحت تاثیر با احراز هویت چند عاملی فعال پیکربندی نشده اند، به این معنی که احراز هویت موفق فقط به یک نام کاربری و رمز عبور معتبر نیاز دارد.”
“مدارک شناسایی شده در خروجی بدافزار infostealer هنوز معتبر بودند، در برخی موارد سالها پس از سرقت، و چرخانده یا به روز نشده بودند. نمونه های مشتری Snowflake تحت تاثیر قرار، لیست های شبکه ای نداشتند که فقط اجازه دسترسی از مکان های مورد اعتماد را بدهد.”

UNC5537 جدول زمانی حمله برف ریزه منبع: Mandiant
Snowflake و Mandiant قبلاً به حدود 165 سازمانی که احتمالاً در معرض این حملات مداوم هستند اطلاع داده اند.
نقض‌های اخیر مرتبط با این حملات شامل Santander، Ticketmaster، QuoteWizard/LendingTree، Advance Auto Parts، Los Angeles Unified و Pure Storage است.