В феврале 2024 года специалисты по кибербезопасности обнаружили масштабную утечку конфиденциальной информации, затрагивающую более 122 миллионов деловых контактов. Инцидент связан с компанией DemandScience (ранее известной как Pure Incubation) – крупным агрегатором данных в сфере B2B.
Масштаб и характер утечки данных
Скомпрометированная база данных содержит широкий спектр деловой информации, включая полные имена, физические адреса, email-адреса, телефонные номера, должности и ссылки на профили в социальных сетях. Эти данные были собраны DemandScience из различных открытых источников и партнерских организаций в рамках их деятельности по обогащению бизнес-информации.
Хронология инцидента и действия злоумышленников
Хакер, известный под псевдонимом KryptonZambie, первоначально выставил на продажу 132,8 миллиона записей на хакерском форуме BreachForums. В августе 2024 года эти данные стали фактически общедоступными, когда злоумышленник снизил цену до символической суммы в несколько долларов США.
Подтверждение подлинности данных
Известный специалист по информационной безопасности Трой Хант, основатель сервиса Have I Been Pwned (HIBP), провел независимую верификацию утечки. Анализ показал наличие 122 миллионов уникальных email-адресов, включая личные данные самого эксперта, относящиеся к периоду его работы в Pfizer.
Реакция DemandScience и расследование инцидента
Представители DemandScience первоначально отрицали факт компрометации своих систем. Однако позднее компания признала, что утечка произошла из устаревшей системы, выведенной из эксплуатации около двух лет назад. По заявлению компании, их текущие активные системы не были затронуты инцидентом.
Все скомпрометированные данные уже интегрированы в базу Have I Been Pwned, и пострадавшие пользователи получат соответствующие уведомления. Этот инцидент подчеркивает критическую важность надлежащего обеспечения безопасности даже неактивных систем и своевременного уничтожения устаревших данных. Организациям рекомендуется регулярно проводить аудит информационной безопасности и внедрять комплексные меры защиты корпоративных данных на всех этапах их жизненного цикла.
