Новозеландський оператор розрахунку заробітної плати заявив, що потрапив у “глобальний” інцидент із безпекою даних, який призвів до несанкціонованого доступу до даних деяких його клієнтів.
Компанія Thankyou Payroll, яка обслуговує низку благодійних організацій, повідомила в четвер, що було отримано доступ до даних клієнтів, які зберігалися у “сторонньому інструменті звітності” під назвою Metabase.
Зазначається, що жодна з власних систем компанії не була зламана, а їхній інструмент Metabase було відключено.
До інформації, до якої було отримано доступ, належать імена, податкові номери (IRD numbers), адреси електронної пошти та фізичні адреси, банківські реквізити та історія платежів.
“Ми знаємо, що наші клієнти довіряють нам важливу інформацію, і ми перепрошуємо за занепокоєння та збої, які може спричинити цей інцидент”, – заявили в компанії. “Ми розуміємо, що Thankyou Payroll є однією з багатьох компаній, які постраждали, оскільки це глобальний інцидент, що зачіпає багато компаній по всьому світу”.
Thankyou Payroll повідомила, що посилила заходи безпеки, попросила клієнтів скинути паролі та повідомила Офіс Комісара з питань конфіденційності.
“Після того, як ви завершите обов’язкове оновлення пароля під час наступного входу, ваш обліковий запис буде повністю захищений, і ви зможете вести розрахунок заробітної плати як зазвичай”.
Повідомляється, що Metabase у серпні попередив користувачів про виявлення “критичної вразливості, яка дозволяє віддаленому зловмиснику без автентифікації впроваджувати довільний SQL-код у базу даних застосунку Metabase, що може надати йому права адміністратора”. Компанія надала виправлення, закликавши користувачів оновитися “якомога швидше”.
Один з аналітиків зазначив, що існує тисячі потенційних цілей, зокрема “сектори критичної інфраструктури, включно з урядом, охороною здоров’я, енергетикою, фінансами, телекомунікаціями, авіацією та великими державними організаціями”.
Thankyou Payroll заявила, що паролі та номери кредитних карток у безпеці.
Про витік даних стало відомо того ж дня, коли надійшло повідомлення про можливу крадіжку великої кількості файлів, пов’язаних із клінічними випробуваннями, які проводила ZenTech – приватна новозеландська компанія.