据数据泄露通知服务平台 “我是否被入侵”（Have I Been Pwned）消息，入侵西班牙快时尚零售商 Zara 数据库的黑客，窃取了超过 19.7 万名顾客的数据。
Zara 在全球拥有 1500 多家公司直营和特许经营门店，是全球最大的时尚分销集团之一 Inditex 集团的旗舰品牌。Inditex 集团还拥有 Bershka、Zara Home、Oysho、Pull&Bear、Massimo Dutti、Stradivarius 和 Uterqüe 等品牌。
正如 Inditex 集团上月在数据泄露事件被广泛报道时所述，遭入侵的数据库由前技术供应商托管，其中包含与不同市场客户业务关系的相关信息。
不过，Inditex 集团指出，攻击者并未获取受影响客户的姓名、电话号码、地址、凭证或支付信息（如银行卡）。
该集团还补充称，其运营和系统未受影响，但尚未指明此次数据泄露事件的具体威胁行为者，也未透露被入侵供应商的名称。
Inditex 集团表示：“Inditex 已立即启动安全协议，并就此次未经授权的访问通知相关当局。此次安全事件影响了前技术供应商，波及数家国际运营公司。”
尽管 Inditex 集团和 Zara 尚未披露该事件的更多细节，包括受影响的总人数，但勒索团伙 ShinyHunters 已宣称对此次数据泄露负责，并泄露了一个 140GB 的存档，其中包含据称使用窃取的 Anodot 身份验证令牌从 BigQuery 实例中盗取的文件。
“我是否被入侵” 平台对被盗数据进行分析后，于今日称此次数据泄露事件致使 19.74 万人的数据被曝光，包括唯一的电子邮箱地址、地理位置、购买记录及支持工单信息。该平台表示：“数据中包含 19.7 万个唯一的电子邮箱地址，以及产品库存单位（SKU）、订单 ID 和支持工单来源市场等信息。”
此前，该网络犯罪团伙告诉 BleepingComputer，他们利用 Anodot 身份验证令牌从数十家公司窃取数据，并表示在试图从 Salesforce 实例中窃取数据时，被基于人工智能的检测系统拦截。
该团伙还与一场广泛的语音网络钓鱼活动有关，该活动针对员工和业务流程外包（BPO）代理的微软 Entra、Okta 和谷歌单点登录（SSO）账户。在攻陷企业单点登录账户后，他们从相关的软件即服务（SaaS）应用程序（包括 Salesforce、SAP、Slack、Adobe、Atlassian、Zendesk、Dropbox、微软 365、谷歌 Workspace 等）中窃取数据。
近几个月来，ShinyHunters 宣称实施的数据泄露事件还涉及谷歌、思科、PornHub、在线约会巨头 Match Group、视频服务平台 Vimeo、游戏公司 Rockstar Games、家庭安防巨头 ADT、欧盟委员会、教育科技巨头麦格劳 – 希尔（McGraw Hill）、医疗设备制造商美敦力（Medtronic）、邮轮运营商嘉年华（Carnival）、便利店连锁品牌 7 – Eleven 以及在线培训公司 Udemy 等。
最近，ShinyHunters 两次入侵教育技术巨头 Instructure，第二次利用安全漏洞篡改了约 330 所高校的 Canvas 登录门户，并威胁称若不支付赎金，就泄露此前入侵 Instructure 时窃取的数据。
另一家西班牙时尚零售巨头 MANGO 去年 10 月也向其客户发送了数据泄露通知，警告称其营销活动中使用的个人数据，在其营销供应商遭黑客攻击后被泄露。然而，尚无勒索软件或勒索组织宣称对 MANGO 事件负责，攻击者身份仍不明确。
消息来源：bleepingcomputer.com；
本文由 HackerNews.cc 翻译整理，封面来源于网络；
