الفئة
العلامات التجارية
النمط
الخامة
المجموعة
شوهدت مؤخرًا
المنتجات الأكثر رواجًا
بخصوص “الاعتذار والإشعار بشأن تسرب معلومات بطاقات الائتمان بسبب وصول غير مصرح به إلى موقعنا الإلكتروني”، قمنا بتجميع الأسئلة المتداولة أدناه.
س) يُقال إن الفترة التي كانت هناك فيها إمكانية لتسرب البيانات كانت من 27 نوفمبر 2020 إلى 9 ديسمبر 2020. لقد أجريت دفعة خارج تلك الفترة، فهل هذا آمن؟
ج) نجري تحقيقًا بواسطة جهة بحث خارجية. وباستثناء 195 بطاقة ائتمان جرى الدفع بها خلال الفترة المذكورة أعلاه، لا توجد إمكانية لتسرب البيانات. يرجى الاطمئنان. إذا كانت لديكم أي أسئلة، فلا تترددوا في التواصل مع مكتب الاستفسارات لدينا. بالإضافة إلى ذلك، وبعد تحليل تواريخ الشراء للعملاء الذين استُخدمت بطاقاتهم فعليًا بشكل احتيالي، تتركز الحالات بين العملاء الذين أجروا عمليات شراء في 12/2 و12/3 و12/4 و12/8 و12/9.
س) هل سأتمكن من استخدام الخدمة بأمان مستقبلًا؟
ج) نحن نأخذ هذا الأمر على محمل الجد للغاية وقد نفذنا جميع الإجراءات اللازمة لتحسين الأمان وفقًا لتوجيهات جهة التحقيق الخارجية. سنواصل العمل على تحسين الأمان وبذل قصارى جهدنا لاستعادة ثقة عملائنا.
س) استغرق الرد على الاستخدام الاحتيالي، وإعادة إصدار البطاقات، وإتمام إجراءات التغيير وقتًا طويلًا. هل توجد أي تعويضات؟
ج) كما هو موضح في النص الرئيسي، سنتحمل جميع التكاليف المتعلقة بالاستخدام الاحتيالي ومصاريف استبدال البطاقات. نأسف بشدة للإزعاج الذي سببناه لعملائنا ونقدم اعتذارنا الصادق مرة أخرى. سنوافيكم بالتحديثات بشأن الإجراءات والاستجابات التي نتخذها مستقبلًا، لذا نرجو منكم استمرار تفهمكم وتعاونكم.
س) كان الاكتشاف الأول في 12/9/2020، وكان الإعلان في 3/29/2021. لماذا تأخر الإعلان إلى هذا الحد؟
ج) عملنا ليلًا ونهارًا مع شركات بطاقات الائتمان وشركات التحقيق بهدف إخطار عملائنا في أسرع وقت ممكن، لكننا نعتذر بصدق لأن الإخطار انتهى إلى أن يكون في هذا التوقيت. لقد كنا نتشاور مع شركات بطاقات الائتمان، ولكن لتجنب أي ارتباك غير ضروري، لم نتمكن من الاتصال بالعملاء في وقت أبكر. وبعد أن أنهت جهة التحقيق الخارجية تحقيقها وتلقينا تأكيدًا من كل شركة بطاقات، تمكنا أخيرًا من إخطار عملائنا.
س) يرجى إخبارنا عن التحسينات الأمنية التي قمتم بتنفيذها حتى الآن.
ج) لضمان عدم تكرار حادثة مماثلة، قمنا بتنفيذ الإجراءات التالية.
・قمنا على الفور بإصلاح الثغرة في وظيفة رفع الملفات وتمكين SELinux، مما حسّن الأمان ضد العبث. (ديسمبر 2020)
・نقلنا بيئة الخادم إلى بيئة سحابية عامة آمنة مبنية بأحدث نظام تشغيل/برمجيات وسيطة. (ديسمبر 2020)
・أدخلنا جدار حماية عالي الأداء (WAF) وطبقنا إجراءات لحظر الوصول غير المصرح به والهجمات. (يناير 2021)
・أدخلنا المصادقة الثنائية لبيئة الخادم وأدوات الإدارة. (فبراير 2021)
・قمنا بتثبيت برنامج مضاد للفيروسات على الخادم ونُجري فحوصات منتظمة للفيروسات. (فبراير 2021)
・نطبق بانتظام التصحيحات الحرجة على مستوى نظام التشغيل/البرمجيات الوسيطة. (مارس 2021)
・أدخلنا حل FIM (File Integrity Monitoring) لاكتشاف العبث بالملفات. (أبريل 2021)
・إضافة إلى ما سبق، قمنا أيضًا بتنفيذ تدابير أخرى متنوعة لتعزيز الأمان.
س) يرجى إخبارنا عن التحسينات الأمنية التي تخططون لتنفيذها مستقبلًا.
ج) تحت إشراف جهة التحقيق الخارجية وشركة متخصصة في الأمن، نخطط لتنفيذ الإجراءات التالية.
・تقييمات أمنية منتظمة من قبل شركة متخصصة في الأمن.
・تقييمات داخلية منتظمة للثغرات.
・الاحتفاظ بالسجلات على المدى الطويل باستخدام SIEM (Security Information and Event Management)
・إضافة إلى ما سبق، سنواصل تنفيذ تدابير لتعزيز متانة النظام.
س) هل كانت تفاصيل بطاقة الائتمان (رقم البطاقة، تاريخ الانتهاء، رمز الأمان) مخزنة على الخادم؟
ج) لا. لقد استخدمنا خدمة دفع غير محتفظة بالبيانات ومتوافقة مع PCI-DSS (مبنية على JavaScript) مقدمة من Stripe، ولم تُخزّن أي معلومات لبطاقات ائتمان العملاء على خوادمنا إطلاقًا. وقد عمل هذا الهجوم عبر العبث بصفحة الدفع ووضع نموذج إدخال مشابه يشبه إلى حد كبير نموذج إدخال بطاقة الائتمان الأصلي، بحيث عند الضغط على زر الدفع تُحوَّل المعلومات المُدخلة إلى موقع المهاجم.
س) ماذا يعني أن هناك احتمالًا لتسرب معلومات بطاقة الائتمان؟ هل يعني ذلك أنها ربما لم تتسرب؟
ج) لم نتمكن من تأكيد أن المعلومات تم تحويلها فعليًا إلى موقع المهاجم، ونحن نمضي قدمًا في الإجراءات الخاصة بجميع البطاقات التي استُخدمت أثناء وجود ملف الهجوم على الخادم على أنها "محتمل" أن تكون متأثرة. لذلك، قد يكون العملاء الذين دفعوا خلال هذه الفترة لم تُسرَّب معلوماتهم فعلًا. وبعد تحليل تواريخ الشراء للعملاء الذين استُخدمت بطاقاتهم فعليًا بشكل احتيالي، تتركز الحالات بين العملاء الذين أجروا عمليات شراء في 12/2 و12/3 و12/4 و12/8 و12/9. وخلال فترات أخرى، ربما تمت إزالة النموذج المزيف (※ وقد تأكدنا من ذلك أيضًا فعليًا).
س) إذا وقع استخدام احتيالي، فكيف ستتم معالجة التعويض؟ كذلك، هل ستكون هناك أي رسوم لاستبدال البطاقة؟
ج) لن يتحمل العميل جميع النفقات المتكبدة فيما يتعلق بهذه الحادثة. وكما ورد في النص الرئيسي للتقرير، يرجى التأكد من مراجعة كشف حساب بطاقة الائتمان الخاصة بكم والتواصل مع شركة بطاقة الائتمان إذا وجدتم أي استخدام غير مصرح به.
س) هل ستواصل ApparelX تقديم الخدمات مستقبلًا؟
ج) نحن نأخذ هذا الأمر على محمل الجد للغاية وقد نفذنا جميع الإجراءات اللازمة لتحسين الأمان وفقًا لتوجيهات جهة التحقيق الخارجية. سنواصل العمل على تحسين الأمان وبذل قصارى جهدنا لاستعادة ثقة عملائنا.
س) أود الانسحاب من ApparelX وحذف جميع المعلومات. هل يمكنكم فعل ذلك؟
ج) يرجى حذف معلومات حسابك من حذف الحساب في حسابي. سيتم حذف جميع المعلومات المخزنة على موقعنا الإلكتروني.
س) متى ستُستأنف إمكانية قبول الدفع ببطاقات الائتمان؟
ج) نحن حاليًا نتشاور مع جهة معالجة المدفوعات لدينا. وعند استئناف الخدمة، سنعلن ذلك على الموقع الإلكتروني. (أُضيف في 4/28) بعد موافقة كل شركة بطاقات، استأنفنا مدفوعات بطاقات الائتمان في 2021/4/28.
