Vistaprint ha lasciato un database del servizio clienti non protetto
Un ricercatore della sicurezza ha trovato su Internet un database esposto appartenente al colosso della stampa online Vistaprint.
La settimana scorsa il ricercatore di sicurezza Oliver Hough ha scoperto il database non crittografato. Non c’era password nel database, permettendo a chiunque di accedere ai dati. Il database è stato rilevato per la prima volta il 5 novembre, ma potrebbe essere stato esposto più a lungo.
Hough ha twittato per avvertire la compagnia ma non ricevuto risposta.
Vistaprint, di proprietà Cimpress con sede nei Paesi Bassi, ha tranquillamente messo offline il database e non ha commentato.
Robert Crosland, portavoce di Vistaprint, ha poi dichiarato in una nota che l’esposizione ha colpito i clienti negli Stati Uniti, nel Regno Unito e in Irlanda.
“Questo è inaccettabile e non dovrebbe accadere in nessuna circostanza, attualmente stiamo conducendo un’indagine completa per capire cosa è successo e come prevenire qualsiasi ricorrenza futura. Al momento, non sappiamo se questi dati siano stati accessibili oltre il ricercatore di sicurezza che li ha trovati “, ha detto il portavoce.
La società ha dichiarato che informerà i clienti dell’esposizione.
Il database conteneva cinque tabelle archiviate con dati su oltre 51.000 interazioni del servizio clienti, come chiamate al servizio clienti o chat con un agente di supporto online. I dati includevano anche informazioni di identificazione personale, inclusi nomi e informazioni di contatto, che potevano identificare i singoli clienti.
Una tabella denominata “casi” conteneva domande dei clienti in arrivo, tra cui il nome, l’indirizzo e-mail, il numero di telefono e la data e l’ora della loro interazione con il servizio clienti. Molte di queste interazioni con il servizio clienti erano recenti fino a metà settembre.
Alcuni dei registri contenevano anche informazioni riservate come numeri d’ordine e numeri di tracciamento postale, ma nel database esposto non c’erano password o dati finanziari.
Secondo Hough, il database non stava attualmente inviando o ricevendo dati. Il database è stato chiamato “migrazione”, suggerendo che il database è stato utilizzato per archiviare temporaneamente i dati mentre veniva spostato i record dei clienti da un server a un altro.
Ma non è chiaro perché il database sia stato esposto e lasciato online senza password.
