Основная «фишинговая атака» была просто небрежной электронной почтой [Энди Рубин отвечает]

Обновление 2: Генеральный директор Essential Энди Рубин подтвердил, что вчерашняя ошибка произошла из-за неправильной конфигурации одного из писем по обслуживанию клиентов. Компания отключила эту конкретную учетную запись и добавляет меры предосторожности для предотвращения повторения подобных случаев в будущем:

Вчера мы допустили ошибку в нашей функции обслуживания клиентов, в результате которой личная информация примерно 70 клиентов была передана небольшой группе других клиентов. Мы отключили неверно настроенную учетную запись и предприняли внутренние шаги, чтобы добавить меры предосторожности против повторения этого в будущем. Мы искренне приносим извинения за нашу ошибку и будем предлагать пострадавшим клиентам один год LifeLock. Мы также будем продолжать вкладывать больше средств в нашу инфраструктуру и обслуживание клиентов, что будет только важнее по мере нашего роста.

Быть основателем бизнеса с высокой конкуренцией означает, что вам иногда приходится есть ворону. Это унизительно, не вкусно, и часто это унизительно. Как основатель и генеральный директор Essential, я лично несу ответственность за эту ошибку и постараюсь не повторять ее.

Я по-прежнему воодушевлен и мотивирован поддержкой, которую Essential испытал с момента открытия компании 30 мая. Мы по-прежнему глубоко верим в наше видение и инновации, которые мы воплощаем в жизнь с помощью наших продуктов для дома, телефона и 360 камер. Я смиренно благодарю наших клиентов и партнеров по каналам за ваше терпение и понимание, когда мы приступаем к выпуску наших первых продуктов.

Обновление. Похоже, что Essential неправильно настроил свое программное обеспечение поддержки клиентов (в данном случае Zendesk), из-за чего электронные письма были слепо скопированы (BCC:) для всех в списке рассылки клиентов, которым нужно было предоставить больше информации. Другие сообщения о мошеннических платежах и скомпрометированной базе данных клиентов пока не подтверждены.

Essential Phone наконец-то выйдет к покупателям после длительных задержек, но компания еще не покончила со своей долей противоречий. В электронном письме, которое отправляется клиентам из учетной записи службы поддержки Essential ([email protected]), запрашивается дополнительная информация в виде удостоверения личности с фотографией для обработки поставок. Хотя сам адрес является законным, похоже, что клиенты компании стали объектом фишинг-атаки.

Судя по ответам на ветку Reddit, хакер нашел способ проникнуть на почтовый сервер компании. Вот письмо в полном объеме:

Привет, Наша группа проверки заказа требует дополнительной проверочной информации для завершения обработки вашего последнего заказа.

Эта проверка выполняется для защиты от несанкционированного использования вашей платежной информации и аналогична той, которая проводится для личных покупок.

Пожалуйста, укажите альтернативный адрес электронной почты и номер телефона, чтобы подтвердить эту покупку.

Мы хотели бы запросить фотографию удостоверения личности с фотографией (например, водительские права, удостоверение личности штата, паспорт) с четким указанием вашей фотографии, подписи и адреса. ПРИМЕЧАНИЕ: адрес на удостоверении личности должен совпадать с адресом выставления счета, указанным в вашем последнем заказе.

Приносим извинения за неудобства и благодарим за сотрудничество. После проверки мы с нетерпением ждем доставки вашего заказа.

Спасибо!

Essential Products Обслуживание клиентов

Со своей стороны, Essential упомянул, что он предпринял шаги для «смягчения проблемы»:

Мы знаем и изучаем недавнее электронное письмо, полученное некоторыми клиентами. Мы предприняли шаги для смягчения и скоро обновим информацию.

- Essential (@essential) 30 августа 2017 г.

Получили ли вы электронное письмо от Essential с просьбой подтвердить информацию?