Фотографии клиентов у стойки регистрации, точное время тренировок, история посещений и сведения о покупках появились в интернете после предполагаемой атаки на DDX Fitness. Среди опубликованных записей обнаружили данные известных людей и предполагаемых сотрудников силовых структур, а некоторые посетители уже начали отправлять сети досудебные претензии. DDX Fitness пока не подтверждает взлом и говорит о проверке возможного инцидента.
О возможной утечке стало известно 13 августа. Как сообщил «Коммерсантъ» со ссылкой на публикации СМИ и Telegram-каналов, в сети появились фотографии клиентов, информация о покупках, время посещения спортзалов и адреса клубов. Значительную часть снимков сделали у стоек регистрации при оформлении посетителей.
Пресс-служба DDX Fitness подтвердила, что компания знает о сообщениях и начала внутреннюю проверку. Представители сети сообщили, что дополнительно усилили меры информационной безопасности и провели внеплановые работы по защите информационных систем и баз данных.
При этом DDX Fitness пока не сообщила, каким образом информация могла попасть к посторонним. Неизвестны способ проникновения в инфраструктуру, дата предполагаемой атаки и количество затронутых клиентов. Публичных технических данных об использованной уязвимости или другом векторе компрометации также нет, поэтому уверенно говорить именно о взломе пока нельзя.
Масштаб потенциального инцидента может оказаться значительным. DDX Fitness насчитывает 168 клубов в 64 городах и обслуживает более 900 тысяч клиентов. Однако никаких подтверждений компрометации всей клиентской базы нет.
По данным Telegram-канала Baza, среди опубликованных материалов обнаружили записи известных посетителей DDX Fitness. СМИ упоминают актера Юрия Колокольникова, блогеров Александру Митрошину и Сашу Теслонда, хоккеиста Николая Голдобина и участника телевизионных проектов Торнике Квитатиани. Независимого подтверждения принадлежности каждой опубликованной записи конкретному человеку пока нет.
Позднее Baza сообщила о еще одной категории потенциально пострадавших. Среди записей якобы присутствуют данные сотрудников российских силовых и правоохранительных органов. В материалах фигурируют фотографии, фамилии, номера телефонов и даты посещений фитнес-клубов. Подлинность таких записей официально не подтверждена.
Предполагаемая утечка выделяется не только фотографиями и контактами. История посещений позволяет определить постоянный клуб человека, дни тренировок и привычное время визитов. Вместе с телефоном, фотографией и информацией о покупках такой набор дает злоумышленникам материал для убедительных мошеннических сообщений от имени фитнес-сети.
Некоторые посетители DDX Fitness уже начали направлять компании досудебные претензии. Клиенты требуют объяснить, как персональная информация оказалась в интернете, какие сведения были скомпрометированы и что компания собирается предпринимать. Пользователи также распространяют шаблоны обращений и пытаются выяснить, затронул ли инцидент их учетные записи.
При этом опубликованные сведения пока не позволяют утверждать, что посторонние получили весь массив информации, который DDX Fitness хранит о клиентах. Нет подтверждений утечки паспортных данных, реквизитов банковских карт или другой финансовой информации. Сообщения о подобных сведениях пока остаются неподтвержденными.
По состоянию на 15 августа причина инцидента остается неизвестной. Публичных доказательств внешнего взлома, действий инсайдера или ошибки в настройках систем пока нет. DDX Fitness продолжает внутреннюю проверку и усиливает защиту своей инфраструктуры, а полный объем попавшей в сеть информации и количество пострадавших клиентов еще предстоит установить.