De afpersingsgroep ShinyHunters heeft gegevens gepubliceerd van bijna 400.000 klanten van BCD Travel nadat een losgelddeadline was verstreken, waardoor een grote verzameling klantgegevens online openbaar beschikbaar is geworden.
Volgens onderzoekers die de gelekte gegevens hebben bekeken, bevat de dataset informatie die gelinkt is aan ongeveer 396.000 individuen. De blootgelegde dossiers bevatten naar verluidt namen, e-mailadressen, telefoonnummers, fysieke adressen, werkgeversgegevens, functietitels en communicatie met de klantenservice.
De publicatie volgt op eerdere beweringen van ShinyHunters dat het BCD Travel had gehackt en bedrijfs- en klantgegevens had gestolen. De groep stelde eerder een deadline voor het bedrijf om op zijn eisen te reageren en waarschuwde dat de gegevens zouden worden vrijgegeven als er geen overeenkomst werd bereikt.
Na afloop van de deadline publiceerde de groep de klantgegevens online.
Voordat de gegevens werden vrijgegeven, beweerde ShinyHunters dat het meer dan 700.000 Salesforce-records had verkregen, samen met informatie uit SharePoint-systemen, interne documenten, contracten, operationele gegevens en klantgegevens. Die beweringen zijn door de aanvallers gedaan en zijn niet onafhankelijk geverifieerd.
De gelekte klantinformatie lijkt slechts een deel van de gegevens te vertegenwoordigen die de groep beweert te bezitten.
BCD Travel is een bedrijf voor reismanagement dat reisboekings- en beheerdiensten aanbiedt aan bedrijven, multinationals en overheidsorganisaties. Als gevolg hiervan kunnen de blootgestelde dossiers informatie bevatten die verbonden is aan zakelijke reizigers en zakelijke klanten.
Onderzoekers die de gepubliceerde gegevens onderzochten, zeiden dat het lek een breed scala aan persoonlijke en zakelijke informatie bevat. Klantenservicegegevens die in de dataset zijn opgenomen, kunnen extra context bieden over reizigers, boekingen en interacties met het bedrijf.
Het incident is ook gecatalogiseerd door datalektracking-diensten. Have I Been Pwned voegde de datalek toe aan zijn database en meldde dat ongeveer 396.300 unieke e-mailadressen in de gepubliceerde gegevens waren opgenomen.
Volgens de beveiligingsdienst bevat de gelekte informatie namen, e-mailadressen, telefoonnummers, fysieke adressen, werkgeversinformatie, functietitels en supportticketgegevens verzameld uit meerdere datasets.
Hoewel de publicatie van de klantgegevens is bevestigd, blijft de volledige omvang van de inbreuk onduidelijk. ShinyHunters blijft beweren dat het aanvullende interne bedrijfsgegevens heeft verkregen bovenop wat openbaar is gemaakt.
Ten tijde van de rapportage circuleerde de gelekte dataset met informatie over bijna 400.000 klanten publiekelijk online.