Situs Web Seiko USA Diretas, Peretas Klaim Curi Data Pelanggan Shopify

Situs web Seiko USA dilaporkan telah menjadi korban peretasan (defacement) pada akhir pekan lalu. Halaman situs tersebut diubah untuk menampilkan pesan dari aktor ancaman yang mengklaim telah mencuri basis data pelanggan Shopify milik perusahaan dan mengancam akan membocorkannya kecuali uang tebusan dibayarkan.

Pengunjung yang mengakses bagian “Press Lounge” di situs web tersebut disuguhkan dengan halaman berjudul “HACKED”. Konten yang seharusnya ada di halaman itu digantikan dengan pesan yang tampaknya merupakan tuntutan tebusan sekaligus pemberitahuan pelanggaran data.

Pesan tersebut secara eksplisit memperingatkan bahwa penyerang telah mendapatkan akses ke backend Shopify perusahaan dan berhasil mengeksfiltrasi informasi pelanggan yang sensitif.

“Ini adalah pemberitahuan keamanan mendesak mengenai toko Shopify Anda. Basis data pelanggan Anda telah dikompromikan,” bunyi halaman web yang diretas tersebut. “Kami telah berhasil menembus sistem keamanan toko Shopify Anda dan mengunduh seluruh basis data pelanggan.”

Data yang Diklaim Dicuri

Aktor ancaman mengklaim bahwa data yang berhasil mereka curi mencakup informasi sensitif berikut:

• Informasi Pelanggan: Nama, alamat email, dan nomor telepon.
• Riwayat Pesanan: Catatan pembelian dan detail transaksi.
• Data Pengiriman: Alamat dan preferensi pengiriman.
• Detail Akun: Tanggal pembuatan akun dan catatan pelanggan.

Tuntutan Negosiasi dalam 72 Jam

Para penyerang memberikan ultimatum kepada Seiko USA: data yang dicuri akan dirilis ke publik kecuali pihak perusahaan segera memulai negosiasi. Mereka memberikan tenggat waktu yang sangat ketat, yakni 72 jam untuk dihubungi sebelum basis data tersebut dipublikasikan.

Sebagai bagian dari tuntutan tersebut, peretas menginstruksikan perusahaan untuk mencari akun pelanggan spesifik yang diidentifikasi dengan ID 8069776801871 di dalam panel admin Shopify. Aktor ancaman menyatakan bahwa alamat email kontak telah ditambahkan ke profil akun tersebut dan harus digunakan oleh pihak Seiko untuk memulai negosiasi tebusan.

Hingga saat ini, BleepingComputer belum dapat mengonfirmasi secara independen siapa aktor ancaman di balik serangan ini dan apakah klaim pencurian data mereka benar-benar sah atau sekadar gertakan.

Seiko USA belum memberikan konfirmasi publik atau menanggapi email dari media terkait insiden peretasan ini. Kendati demikian, perusahaan tersebut terpantau telah bergerak cepat untuk membersihkan dan menghapus pesan pemerasan tersebut dari situs web mereka.