PandaBuy在线购物平台的数据泄露影响了超过130万客户。据称，这是由于两名威胁行为者利用多个漏洞破坏系统造成的。PandaBuy允许国际用户从中国的多个电子商务平台购买产品，包括天猫、淘宝和京东。
昨天，一名名为”Sanggiero”的威胁行为者声称PandaBuy遭到破坏，其与另一名名为”IntelBoker”的威胁行为者合作实施攻击。
威胁行为者表示：“数据是通过利用平台API中的几个关键漏洞而被盗的，并且还发现了其他允许访问网站内部服务的错误。”泄露的数据包括超300万用户ID、名字、姓氏、电话号码、电子邮件、登录IP、订单数据、订单ID、家庭地址、邮政编码、地区等。
根据Have I Been Pwned (HIBP)的数据，1,348,407个PandaBuy账户在此次泄露中暴露。PandaBuy购物者的详细信息已在论坛上泄露，任何注册会员都可以通过象征性的加密货币支付获取。
威胁行为者提供了一个小样本，包含了电子邮件地址、客户姓名、订单号和详细信息、送货地址、交易日期和时间以及付款ID，以向未注册会员证明信息的有效性。
HIBP的创建者Troy Hunt使用了泄露的地址测试了密码重置请求，确认了至少130万个电子邮件地址来自PandaBuy且有效。其余地址都是虚构和重复的，因此威胁行为者夸大了“300万”的数字。
PandaBuy尚未就数据泄露事件发表任何声明。据报道，该公司试图通过审查Discord和Reddit上的用户帖子来掩盖这一事件。
一位在 Discord担任管理员角色的公司代表表示，过去曾发生过安全事件，泄露的数据是旧数据，平台的安全团队已及时对问题做出了回应。
转自安全客，原文链接：https://www.anquanke.com/post/id/295199
封面来源于网络，如有侵权请联系删除