Cyberatak na Autopay: mogły wyciec dane kart płatniczych. Sprawdź historię transakcji i uważaj na telefony

Autopay, operator płatności internetowych z Sopotu, potwierdził cyberatak. Przestępcy dostali się do części infrastruktury i do danych o płatnościach przetworzonych przez spółkę, a według komunikatu rozsyłanego klientom mogły to być m.in. dane karty użytej do zapłaty. Jeśli płaciłeś przez Autopay (dawniej Blue Media), sprawdź historię karty i uważaj na „pomocne” telefony.

Co się stało

Autopay S.A. poinformował 13 listopada, że 11 listopada wykrył nieautoryzowany dostęp do swojej infrastruktury oraz do części danych dotyczących płatności. Firma pisze, że nie potwierdziła, by dane zostały skopiowane albo wykorzystane, ale nie może tego wykluczyć. Dlatego osoby, których sprawa może dotyczyć, dostają indywidualne powiadomienia e-mailem.

Spółka zapewnia, że od razu zablokowała dostęp intruzów, zabezpieczyła systemy i włączyła dodatkowy monitoring. Incydent zgłoszono do Prezesa UODO, na Policję i do CSIRT KNF, czyli zespołu reagowania na incydenty działającego przy Komisji Nadzoru Finansowego. Autopay podkreśla też, że pieniądze klientów są bezpieczne. Ilu osób dotyczy zdarzenie, na razie nie podano.

Jakie dane mogły wyciec

Według treści powiadomień, które cytuje warszawski Klub Informatyki i Cyberbezpieczeństwa (KICB), zagrożone mogą być:

• adres e-mail,
• numer telefonu (jeśli płaciłeś za doładowanie komórki),
• adres IP,
• dane karty płatniczej użytej do zapłaty.

Ostatni punkt jest najpoważniejszy. Komunikat nie precyzuje, które dokładnie dane karty mogły trafić w niepowołane ręce, więc najlepiej założyć najgorszy scenariusz i przez najbliższe tygodnie pilnować wyciągów.

Atak „jak praca admina”, z pomocą AI

Ciekawy jest opis samego włamania, który menedżer ds. bezpieczeństwa Autopay przekazał serwisowi Sekurak. Według spółki atak był mocno zautomatyzowany i najpewniej wspierany przez modele AI: po okresie „uśpienia” napastnicy w ciągu sekund wykonywali serie operacji na dziesiątkach zasobów, a po każdej blokadzie natychmiast zmieniali drogę. Nie infekowali komputerów pracowników. Poruszali się przez systemy, którym sieć ufa z definicji: monitoring, CI/CD, automatyzację wdrożeń i menedżer haseł, używając prawdziwych poświadczeń i zwykłych narzędzi administracyjnych. Dlatego pojedyncze kroki nie uruchamiały alarmów.

Firma unieważniła poświadczenia, odizolowała i odbudowała zaatakowane serwery, wymienia klucze z partnerami, a szczegółowy opis działania sprawców przekazała do CSIRT KNF, żeby ostrzec cały sektor finansowy.

Co zrobić, jeśli płaciłeś przez Autopay

• Przejrzyj historię karty w aplikacji banku, także drobne kwoty. Oszuści często zaczynają od testowych transakcji za kilka złotych.
• Każdą nieznaną operację od razu zgłoś do banku i poproś o zastrzeżenie karty oraz o wydanie nowej. Rozważ to nawet bez podejrzanych transakcji, jeśli dostałeś powiadomienie od Autopay.
• Włącz powiadomienia push o każdej transakcji i ustaw niższe limity płatności internetowych.
• Nie ufaj wiadomościom o „weryfikacji karty po incydencie”. Głośny wyciek to świetny pretekst dla oszustów. Nikt uczciwy nie poprosi Cię o pełny numer karty, kod CVV, kod BLIK ani o instalację aplikacji do zdalnego pulpitu.
• Odłóż słuchawkę, gdy dzwoni „pracownik banku” albo „Autopay”, i sam oddzwoń na numer z odwrotu karty lub ze strony banku.
• Podejrzane SMS-y przesyłaj bezpłatnie na numer 8080, a strony zgłaszaj do CERT Polska przez incydent.cert.pl.

Lekcja dla firm

Jeśli Twój sklep albo serwis przyjmuje płatności przez Autopay, sprawdź, czy dostawca skontaktował się z Tobą, i zapytaj, czy incydent obejmuje dane Twoich klientów. Warto też ocenić, czy zdarzenie u dostawcy nie wymaga zgłoszenia po Twojej stronie. Wnioski z opisu ataku są uniwersalne: krótkotrwałe poświadczenia, minimalne uprawnienia także dla tokenów serwisowych, szybkie automatyczne odcinanie dostępu i centralne logi z systemów CI/CD oraz menedżerów haseł.

Każdy, kogo dotyczy zdarzenie, może złożyć skargę do Prezesa UODO. Pytania do spółki można kierować na adres [email protected].

Źródło: Autopay – komunikat o zdarzeniu, Sekurak, KICB, rp.pl

Artykuł zredagowany przy pomocy AI.