Американская компания Stiiizy, популярный бренд в сфере продажи каннабиса*, столкнулась с утечкой данных через стороннего поставщика, что привело к компрометации личной информации клиентов и истории их транзакций. Нарушение затронуло розничные магазины компании в Калифорнии, включая Сан-Франциско, Аламеду и Модесто.
В числе утёкших данных оказались имена, адреса, даты рождения, номера водительских удостоверений и паспортов, фотографии, подписи, медицинские карты для получения каннабиса и истории покупок. Такое разнообразие информации может быть использовано злоумышленниками для кражи личных данных, финансового мошенничества, создания таргетированных атак и шантажа. Учитывая общественное мнение о марихуане*, шантаж может быть особенно опасным для пострадавших.
Инцидент произошёл из-за атаки на неназванного поставщика программного обеспечения для точек продаж. Компания подтвердила, что за атакой стояла организованная киберпреступная группа.
Согласно данным, предоставленным Cybernews через инструмент “Ransomlooker”, Stiiizy стала жертвой вымогательской группы Everest в ноябре и декабре 2024 года. Everest опубликовала данные клиентов компании на своём сайте утечек после того, как Stiiizy отказалась выполнить требования о выкупе.
Группа вымогателей Everest связана с операциями Black-Byte, использующими модель “вымогательство как услуга”. Everest известна атаками на крупные компании и государственные учреждения. В числе её жертв – бразильское правительство, из чьих серверов в 2022 году было украдено 3 ТБ конфиденциальной информации. Everest также брала ответственность за взлом AT&T, предлагая доступ к корпоративной сети компании.
По данным Halcyon AI, злоумышленники утверждают, что получили доступ к данным более 420 000 клиентов Stiiizy. В ноябре 2024 года группа заявила о 18 атаках, а в декабре – ещё о 12.
* Относится к запрещённым на территории РФ веществам.