חברת Paycloud Holdings היפנית, שבבעלותה ספקית שירותי הדיוור Arara, הודיעה שבפריצה למערכות של Arara נלקחו עד כ-77 מיליון כתובות מייל. Arara מספקת לחברות שירות לשליחת ניוזלטרים והודעות שיווקיות, והפריצה פגעה בעד 380 לקוחות עסקיים שלה. אצל חלק מהלקוחות דלפו גם שמות, מספרי טלפון וכתובות מגורים. לפי החברה, השירות לא החזיק מספרי כרטיסי אשראי.
המספרים עלו בחדות מאז הדיווח הראשון בסוף אוקטובר, שדיבר על כ-3.4 מיליון כתובות אצל 61 לקוחות. החברה מדגישה ש-77 מיליון הוא מספר הכתובות ולא מספר האנשים, וייתכן שהוא כולל כפילויות בין רשימות של לקוחות שונים. Arara השביתה את כל השירות ב-31 באוקטובר ולא אמרה מתי יחזור לפעול. לפי החברה, הפריצה נעשתה דרך חולשה בשרת ווב ובעיות בהגדרות המערכת.
הנזק כבר לא תיאורטי. Paycloud אישרה שאחרי הגישה הבלתי מורשית נשלחו עד כ-7.13 מיליון מיילים חשודים שהתחזו לחברת כרטיסי אשראי. בין החברות שהודיעו ללקוחותיהן על הדליפה נמצאת SEGA, שדיווחה ש-2.2 מיליון כתובות מייל של מנויי הניוזלטר שלה נחשפו, בלי שמות, סיסמאות או פרטי אשראי.
מה שהופך את הפרשה הזאת לחשובה הוא המבנה שלה. הלקוחות של SEGA לא מכירים את Arara, לא נתנו לה את הכתובת שלהם ולא ידעו שהיא קיימת. אבל כשנרשמים לניוזלטר, הכתובת עוברת כמעט תמיד לספק דיוור חיצוני, ואותו ספק משרת מאות חברות אחרות. פריצה אחת אצלו שווה מאות פריצות נפרדות, וכתובת מייל אמיתית שקשורה למותג מוכר היא חומר גלם מצוין לפישינג משכנע.
מה עושים? מי שקיבל הודעה על דליפה כזאת לא צריך להחליף סיסמה בגללה, כי סיסמאות לא נחשפו. אבל צריך לחשוד בכל מייל שמגיע "מהחברה" ומבקש ללחוץ על קישור, לאמת פרטי אשראי או לשלם. הדרך הבטוחה היא להיכנס לאתר או לאפליקציה ישירות, ולא דרך הקישור שבמייל.
