Shopify插件疑似泄露近2000家商店数据

3月27日消息，报道称，Cybernews研究团队于今年2月发现了一个可公开访问的MongoDB数据库，该数据库属于一家美国公司Saara，该公司正在开发Shopify插件。Saara工作人员将大量毫无戒心的购物者的敏感数据暴露给了威胁行为者，数百万订单被泄露。

据了解，目前确认受Saara泄漏影响的插件包括：Eco Return，用于AI驱动的退货；WyseMe，获取顶级购物者。Saara制作的其他插件包括：Eco Shipping，折扣运费；SalesGPT，和Al电子商务聊天机器人。

Shopify插件泄露近2000家商店数据 图源：Cybernews

泄露的数据包括客户名称、电子邮件地址、电话号码、地址、订购物品的信息、订单跟踪号码和链接、IP地址、用户代理、部分付款信息。

泄露的数据库存储了25GB的数据，这些数据是由使用该公司插件的1800多家Shopify商店的插件收集的。它拥有760多万份个人订单的数据，包括敏感的客户数据。同一端点还有一个公共API，可以用来代替公开的数据库。

订单分析条目显示订购项目、电子邮件地址 图源：Cybernews

这些数据被抢注了8个月，很可能被威胁行为者获取。该数据库中有一封勒索信，要求支付0.01比特币(约合640美元)，否则数据将被公开。网络安全专家警告说，安全性差的数据库和服务器正成为勒索软件机器人的目标，这些机器人可以清除数据。最有可能的是，Saara没有注意到这张纸条，因为数据库仍然是打开的。

对此，Saara创始人兼首席执行官Sachin Garg表示，在收到这一披露后，公司团队“立即封锁了对数据库的访问”。然而，这位首席执行官声称，该数据库有密码保护，不包含“任何敏感信息”。截至目前，Shopify尚未回应。