Китайская онлайн-шопинг-платформа Pandabuy дважды за два с небольшим месяца столкнулась с требованием выкупа со стороны киберпреступников, похитивших данные ее клиентов. Pandabuy выступает своего рода агрегатором предложений нескольких китайских сервисов онлайн-торговли, включая Tmall, Taobao и JD.com. Все эти сервисы осуществляют доставку заказов только внутри КНР, тогда как Pandabuy имеет возможность международной доставки. Этим активно пользуются многие зарубежные клиенты, приобретая недорогие китайские товары.

31 марта хакеры, скрывающиеся под ником Sanggiero, выложили на ресурсе BreachForums три миллиона строк записей данных клиентов Pandabuy. Информация включала имена, даты рождения, адреса электронной почты и проживания, номера телефонов, логины, IP-адреса и ряд других сведений. По утверждению хакеров, они смогли похитить данные, проэксплуатировав сразу несколько критических уязвимостей в API приложения Pandabuy. Сервис Have I Been Pwned (HIBP), ознакомившись с публикацией, внес в свою базу данных скомпрометированных учетных записей 1,35 миллиона адресов электронной почты.

На тот момент компания Pandabuy предпочла не распространяться об инциденте. Более того, некоторые пользователи жаловались, что она пыталась цензурировать их сообщения на эту тему в социальных сетях. Но расчет на то, что скандал удастся замолчать, себя не оправдал. Более того, теперь скандал становится еще громче. 3 июня все те же хакеры Sanggiero объявили, что готовы за 40 тысяч долларов продать полную базу данных, похищенных у Pandabuy. По их словам, она включает 17 миллионов строк записей данных. В подтверждение киберпреступники опубликовали несколько скриншотов внутренних страниц сайта компании, содержащих пароли и логины сотрудников.

На сей раз компания Pandabuy промолчать уже не смогла. В беседе с журналистами ресурса Bleeping Computer ее представители признали, что ранее заплатили вымогателям Sanggiero выкуп за то, чтобы те удалили и  не распространяли похищенные данные клиентов. Теперь же, поскольку хакеры не выполнили свое обещание, компания не намерена идти с ними ни на какие переговоры. Она также подчеркивает, что все уязвимости, послужившие причиной утечки, успешно исправлены.

Клиентам Pandabuy в этой ситуации можно лишь посочувствовать - и посоветовать изменить пароли своих учетных записей, если они не успели сделать это раньше. Сама же компания как нельзя лучше иллюстрирует то, о чем уже много лет твердят специалисты по кибербезопасности: идти на сделки с хакерами и верить их обещаниям - бессмысленное и вредное решение.