Wyciek danych z AliExpress. Informacje o adresatach 800 000 paczek do Polski

Michał Tomaszkiewicz

02.01.2020 15:03

Częścią doświadczenia kupowania na AliExpress jest oczekiwanie na przesyłkę, potrafiące trwać miesiącami. Klienci mogą uspokoić się, sprawdzając status przesyłki w sieci. Luka w witrynie monitorującej paczki umożliwiała podejrzenie danych zamawiających.

Wyciek danych osobowych to poważne zagrożenie dla finansów. Przestępcy tylko czekają na zdobycie imienia, nazwiska i numerów PESEL oraz dokumentu tożsamości obywatela.

Zaopatrzeni w te dane mogą nabrać pożyczek i zniknąć z pieniędzmi. Kredyty będzie musiała spłacać osoba, na którą zostały one zaciągnięte. Może to oznaczać nagłe pojawienie się długi wynoszącego kilkaset tysięcy złotych, o którym dowiaduje się w trakcie wizyty komornika.

Przeczytaj także

Skradziono dane osobowe kandydatów na studia na SGGW. Nawet kilkaset tysięcy poszkodowanych

Ochrona danych osobowych stała się tak ważna, że UE uchwaliła RODO. Restrykcyjne przepisy dotyczące gromadzenia i przechowywania informacji o obywatelach mają zapobiegać możliwościom wykorzystywania ich do przestępstw.

Nie przed wszystkim jednak można się uchronić – czasem wystarczy przeoczenie, żeby móc dostać się do źle (albo w ogóle) zabezpieczonych danych. Serwis Zaufana Trzecia Strona ujawnił, że w sieci można było przeglądać informacje o adresatach 800 000 paczek zamówionych z AliExpress.

Wyciek danych polskich użytkowników AliExpress. Informacje o adresatach 800 000 paczek

Problem pojawił się na stronie PostalNinja, służącej do śledzenia wysyłanych przez sprzedawców z AliExpress paczek.

Żeby sprawdzić status swojego zamówienia, wystarczy wpisać do wyszukiwarki kod przesyłki. Witryna podaje, na jakim etapie procesu dostawy znajduje się paczka.

Okazało się, że korzystając z tego mechanizmu można podejrzeć informacje o ponad 800 000 różnych paczek wysłanych do naszego kraju między październikiem a grudniem 2019 roku. Wystarczyło zmienić cyfry w numerze przesyłek, które najwyraźniej generowane były po kolei.

PostalNinja wyświetlał imię i nazwisko osoby zamawiającej oraz jego dokładny adres. Po zwróceniu uwagi przez serwis Zaufana Trzecia Strona lukę załatano w jeden dzień: teraz widoczne są tylko trzy pierwsze litery i nazwiska oraz miasto, do którego zmierza paczka.

Nie wiadomo, czy dane zostały wykradzione. Nawet jeśli do tego doszło, brak informacji o e-mailu czy numerze telefonu chroni przed otrzymywaniem groźnych przesyłek ze złośliwym oprogramowaniem, no chyba że ktoś wyśle je na pamięci USB.

Zobacz także: Wyciekły dane osobowe mieszkańców całego kraju