英国电商网站PandaBuy 被黑客入侵：1700 万用户数据遭泄露，黑客索要 4 万美元

一个名为 Sanggiero 的威胁行为者声称对影响英国电子商务平台 PandaBuy 的数据泄露事件负责。

该威胁行为者在 BreachForums 上活动，发布了一则广告，出售超过 1700 万条用户记录。在 Sanggiero 于 2024 年 3 月 31 日部分分享了 PandaBuy 的数据后，PandaBuy 数据泄露事件才被宣布。

PandaBuy 是一家以销售假冒产品而闻名的中国在线市场，在 Google Play 商店中的下载量超过一百万次，评论数达 2.95 万条。

根据 TA 在漏洞论坛上的帖子，泄露的数据包括名字、姓氏、用户 ID、电子邮件地址、订单数据、订单 ID、登录 IP 地址、国家、员工姓名和散列密码。

为了证明此次入侵的真实性，Sanggiero 分享了被入侵的 JSON 文件的截图和记录总数。黑客声称这些数据是通过利用 PandaBuy 平台的关键漏洞获取的，并计划很快在其博客上公开披露这些漏洞。

我还会在我的博客上解释PandaBuy 尚未修复的所有漏洞，”该黑客说道。

PandaBuy数据泄露：威胁者设定价格标签
Sanggiero 以 40,000 美元的价格出售整个数据库。黑客的帖子写道：“我们出售 PandaBuy 的整个数据库。事实上，几个月前您会看到我们部分披露了 PandaBuy 数据。现在我们以 40,000 美元的价格出售包括 1700 万条用户信息在内的所有数据。”

除了赎金之外，Sanggiero 还警告称，PandaBuy 员工的姓名以及密码（采用 base-64 编码）将被泄露。该帖子还公开邀请 PandaBuy 恢复谈判，以防止进一步泄露信息。

“员工的姓名也将随密码（以 base-64 编码）一同披露。如果 PandaBuy 想要恢复谈判，我们欢迎他们。不能再浪费时间了。”

PandaBuy法律纠纷
此次数据泄露事件让 PandaBuy 的麻烦不断增加。2024 年 4 月，中国当局以供应假冒商品为由对该平台展开打击。警方突击搜查了其仓库，仓库中存放着数百万件发往海外买家的包裹。

此次打击行动共动用了 200 多名公安部门警员、50 名私营部门调查员和当地警察。此次突袭行动拘留了 30 多人，并查获了数百万件包裹，其中包括数十万双假冒品牌运动鞋。

此前，PandaBuy 因侵犯版权而面临 16 个品牌的诉讼。PandaBuy 杭州办公室和多个仓库遭到搜查，给公司带来了重大的法律和声誉挑战。

此次调查由《世界商标评论》率先报道，是与伦敦金融城警察局和多家知识产权保护公司合作进行的，其中包括 Corsearch、Rouse 以及 Rouse 在中国的战略合作伙伴路盛律师事务所。

这对 PandaBuy 用户意味着什么
对于 PandaBuy 用户来说，此次涉嫌数据泄露事件令人担忧。被盗数据包括敏感个人信息，可用于身份盗窃、网络钓鱼攻击和其他恶意活动。建议用户：

• 立即更改他们的 PandaBuy 密码。
• 监控他们的电子邮件帐户是否有可疑活动。
• 警惕可能试图利用被盗数据的网络钓鱼电子邮件或消息。

此外，PandaBuy 用户应考虑对其帐户使用双因素身份验证 (2FA)，以增加额外的安全保障。

展望未来
对于 PandaBuy 来说，复苏之路充满挑战。该公司不仅需要解决导致 PandaBuy 数据泄露的安全漏洞，还需要重建与用户和合作伙伴的信任。针对假冒商品的持续法律纠纷使他们的处境更加复杂。