Have I Been Pwned relata que uma suspeita de violação de dados comprometeu os detalhes pessoais de 56.904.909 contas de clientes vinculadas à Hot Topic, BoxLunch e Torrid.
A Hot Topic, uma rede varejista americana, é especializada em moda alternativa, acessórios e produtos licenciados da cultura pop. Com mais de 640 lojas nos Estados Unidos e Canadá, principalmente em shoppings, a empresa estabeleceu um amplo alcance de clientes.
De acordo com HIBP, as informações violadas incluem nomes completos, endereços de e-mail, datas de nascimento, números de telefone, endereços físicos, históricos de compras e dados parciais de cartão de crédito de clientes da Hot Topic, BoxLunch e Torrid.
A violação foi divulgada pela primeira vez no BreachForums por um agente de ameaça usando o pseudônimo “Satanic” em 21 de outubro de 2024. O agente alegou possuir 350 milhões de registros de usuários da Hot Topic e suas marcas associadas, BoxLunch e Torrid.
“Satanic” tentou vender os dados por US$ 20.000 e emitiu um pedido de resgate de US$ 100.000 da Hot Topic para remover a listagem dos fóruns.
Na época, a BleepingComputer entrou em contato com a HT para verificar a autenticidade dos dados, mas não recebeu uma resposta.
Um relatório de 23 de outubro da HudsonRock sugeriu que a violação pode ter resultado de uma infecção por malware de roubo de informações, comprometendo credenciais para um serviço de unificação de dados utilizado pela Hot Topic.
Apesar do silêncio da Hot Topic e da ausência de notificações para clientes potencialmente afetados, a empresa de análise de dados Atlas Privacy relatou na semana passada que o banco de dados de 730 GB afeta 54 milhões de clientes.
A Atlas indicou ainda que o conjunto de dados inclui 25 milhões de números de cartão de crédito criptografados com uma cifra fraca, que poderia ser facilmente descriptografada com poder de computação moderno.
Embora a Atlas não tenha certeza absoluta de que o banco de dados seja da Hot Topic, a empresa observou que quase metade dos endereços de e-mail no banco de dados não apareceram em violações anteriores, dando credibilidade às alegações do agente da ameaça.
Atlas sugere que a violação provavelmente ocorreu em 19 de outubro, cobrindo dados que abrangem de 2011 até aquela data.
A empresa também lançou um site onde os clientes HT podem verificar se seus endereços de e-mail ou números de telefone estão incluídos no vazamento de dados.
Enquanto isso, o agente da ameaça reduziu o preço do banco de dados para US$ 4.000, continuando a oferecê-lo para venda.
Os clientes do Hot Topic potencialmente impactados são aconselhados a ficarem vigilantes contra tentativas de phishing, monitorar contas financeiras de perto para qualquer atividade suspeita e alterar senhas em plataformas onde usam as mesmas credenciais de login.
O BleepingComputer entrou em contato com o Hot Topic novamente para um comentário, mas nenhuma resposta foi recebida até o momento da publicação.
Fonte: BleepingComputer, Bill Toulas
