Kundedata lå åpent tilgjengelig i Rema 1000s Æ-app. – Jeg kunne lastet ned hele kundebasen

[Kurt Lekanger]

Kundedata lå åpent tilgjengelig i Rema 1000s Æ-app. – Jeg kunne lastet ned hele kundebasen

[Kikert]

Det ikke bra

[ATWindsor]

Det mest bekymringsverdige her er i mine øyne Remas tilbakemelding. Den er ikke tillitsvekkende.

 

AtW

[LMH1]

Neste blir vel klage på man ikke får 10% bonus\rabatt.

 

Har kun prøvd appen er mere oversikt over hva man handler enn for rabatten sin del.

Håper virkelig ikke kredittkort nummer blir delt til offentligheten med bank ID det ville vært skandale.Særlig om den informasjonen blir misbrukt.

 

Vet ikke om banken vil betale i så fall da. Nå er det mange kunder så man skal være uheldig hvis andre får informasjon om deg. Men rykte til rema 1000 blir ikke særlig bedre.

 

Foretrekker heller appen til kolional da kan man bestille på app.

Endret 1. februar 2017 av LMH1

[Kakeshoma]

Håper virkelig ikke kredittkort nummer blir delt til offentligheten med bank ID det ville vært skandale.Særlig om den informasjonen blir misbrukt.

 

Joda, både fullstendige kortnummer, bankID og nøkkel til bolig kunne lastes ned. Til og med kone og barn kunne lastes ned.

[quantum]

Det mest bekymringsverdige her er i mine øyne Remas tilbakemelding. Den er ikke tillitsvekkende.

 

Jepp, lurer på

 

1) hvaslags kryptering de hadde ...

2) hva som er ulovlig med å aksessere åpne data hvor ingen tilgangssperrer er implementert

3) hva det kommer av at brukerne behandles ulikt, noen legges ut åpent på nett mens andre får beholde privatlivets fred

4) hvorfor kortnummere ikke er sensitive data

[LMH1]

 

Håper virkelig ikke kredittkort nummer blir delt til offentligheten med bank ID det ville vært skandale.Særlig om den informasjonen blir misbrukt.

 

Joda, både fullstendige kortnummer, bankID og nøkkel til bolig kunne lastes ned. Til og med kone og barn kunne lastes ned.

 

Har du lest:

https://www.ntbinfo.no/pressemelding/uautorisert-utlevering-av-telefonnummer-og-handlekvitteringer-registert-i-ae?publisherId=7512272&releaseId=14110491

 

 

REMA 1000 ble gjort oppmerksom på sikkerhetsbruddet av en varsler som selv gikk inn og skaffet seg informasjon på ulovlig vis. 

-Vi ser svært alvorlig på denne hendelsen og sikkerhetsbruddet ble identifisert og stengt umiddelbart. Vi beklager dette ovenfor brukerne av Æ, men det er viktig å påpeke at det ikke er grunn til bekymring, sier Mette Fossum, kommunikasjonsdirektør i REMA 1000. 

Opplysningene som ble hentet ut var i et begrenset omfang, det vil si at det gjelder et fåtall brukere og at opplysningene ikke er å anse som sensitive personopplysninger. Informasjonen er begrenset til telefonnummer og handlekvitteringer hos et fåtall kunder. Dataen var kryptert og det kreves spesifikk kunnskap for å kunne hente ut informasjonen og dekryptere denne.

Fullstendig betalingsinformasjon er ikke hentet ut og er sikkerhetsmessig ivaretatt i henhold til internasjonale sikkerhetskrav for betalingsinformasjon (PCI). 

-Vi vil igjen forsikre våre kunder at det ikke er noen grunn til bekymring og at sikkerheten rundt personopplysninger er godt ivaretatt og overvåkes døgnkontinuerlig. Brukerne som er rammet varsles og hendelsen er rutinemessig rapportert til Datatilsynet, avslutter Fossum.

Så basert på denne vil jeg ikke si det er rema 1000 sin feil, men hackere som har klart å gi seg tilgang, det er egentlig ulovlig.

Ikke snakk om dårlig kryptering eller sikkerhet, så vil heller si det var den personen sin feil en rema 1000.

Viktig å lese kilder. For tek.no fremstår som useriøst når de gir rema 1000 alene skyld i dette.

Endret 1. februar 2017 av LMH1

[Frode Nilsen]

Her må det gå an å gå litt dypere, siden dette er en teknologitidsskrift. Slik det står nå er det ord mot ord. Mulig å få en oppfølgingsartikkel?

 

-På hvilken måte fikk Fossum tak i dataen?

-Hvilken grunn har Fossum til å påstå at han kunne hente info om alle Æ's brukere?

-Hvilken grunn har Rema 1000 til å påstå det motsatte?

-Hvilken "kunnskap" kreves det å lese ut de krypterte dataene? Kunnskap Fossum har, tydeligvis?

-Er Rema 1000 fornøyd med å si at "det krever kunnskap" å hente ut andre kunders handleapper? Burde ikke vi som brukere kunne kreve "umulig"?

[nomore]

Enig. Her må journalisten stille Rema litt mer til veggs enn dette.

[Frode Nilsen]

Rettelse: Med "Fossum" mente jeg "Nygård"

[jawil]

Artikkelen sier: "Ifølge Fossum skal det ikke ha vært mulig å hente ut informasjon om alle kunder, slik Nygård hevder." Mens det pressemeldingen faktisk sier er: "Opplysningene som ble hentet ut var i et begrenset omfang, det vil si at det gjelder et fåtall brukere og at opplysningene ikke er å anse som sensitive personopplysninger". Her tror jeg journalisten har misforstått. Rema snakker ikke om selve svakheten i systemet, men omtaler selve uthentingen av data som problemet. Det er derfor pressemeldingen sier at bare deler ble hentet ut. Det betyr ikke at ikke alt var tilgjengelig. Rema prøver å flytte fokus fra selve svakheten/problemet/hullet til det som faktisk ble gjort for å oppdage svakheten.

[Stvgr]

For et håpløst arrogant svar fra Rema!

[Trene Arnholdt]

 

 

Håper virkelig ikke kredittkort nummer blir delt til offentligheten med bank ID det ville vært skandale.Særlig om den informasjonen blir misbrukt.

 

Joda, både fullstendige kortnummer, bankID og nøkkel til bolig kunne lastes ned. Til og med kone og barn kunne lastes ned.

 

Har du lest:

https://www.ntbinfo.no/pressemelding/uautorisert-utlevering-av-telefonnummer-og-handlekvitteringer-registert-i-ae?publisherId=7512272&releaseId=14110491

 

 

REMA 1000 ble gjort oppmerksom på sikkerhetsbruddet av en varsler som selv gikk inn og skaffet seg informasjon på ulovlig vis. 

-Vi ser svært alvorlig på denne hendelsen og sikkerhetsbruddet ble identifisert og stengt umiddelbart. Vi beklager dette ovenfor brukerne av Æ, men det er viktig å påpeke at det ikke er grunn til bekymring, sier Mette Fossum, kommunikasjonsdirektør i REMA 1000. 

Opplysningene som ble hentet ut var i et begrenset omfang, det vil si at det gjelder et fåtall brukere og at opplysningene ikke er å anse som sensitive personopplysninger. Informasjonen er begrenset til telefonnummer og handlekvitteringer hos et fåtall kunder. Dataen var kryptert og det kreves spesifikk kunnskap for å kunne hente ut informasjonen og dekryptere denne.

Fullstendig betalingsinformasjon er ikke hentet ut og er sikkerhetsmessig ivaretatt i henhold til internasjonale sikkerhetskrav for betalingsinformasjon (PCI). 

-Vi vil igjen forsikre våre kunder at det ikke er noen grunn til bekymring og at sikkerheten rundt personopplysninger er godt ivaretatt og overvåkes døgnkontinuerlig. Brukerne som er rammet varsles og hendelsen er rutinemessig rapportert til Datatilsynet, avslutter Fossum.

Så basert på denne vil jeg ikke si det er rema 1000 sin feil, men hackere som har klart å gi seg tilgang, det er egentlig ulovlig.

Ikke snakk om dårlig kryptering eller sikkerhet, så vil heller si det var den personen sin feil en rema 1000.

Viktig å lese kilder. For tek.no fremstår som useriøst når de gir rema 1000 alene skyld i dette.

 

Her skal vel vi og ræma være glad for at en white hat hacker fant dette isteden for en black hat.

Bare det at de prøver å flytte ansvaret over på den som fant problemene sier jo sitt.

"Det enkle er ofte det beste" gjelder ikke når det kommer til sikkerhet!

[LMH1]

Forstår ikke hvorfor en del legger all skyld på rema 1000 har dårlig sikkerhet.

Blir jo som å skylde på ansatte sjekker kundenes informasjon i arbeidstiden.

Eller over VPN.

 

Men samme kan vel skje med coop også.

Eller kolional.no

Endret 1. februar 2017 av LMH1

[ATWindsor]

Rema sier det er "ulovlig innhenting av informasjon"- Jeg leser, det er selve nedlastingen av data de snakker om, det er ikke nødvendigvis noe ulovlig med å komme seg inn (fordi det er så lett?)

De sier: Det gjelder kun et fåtall - Jeg leser: ja, han hadde tilgang til hele basen, og tok kun vare på et fåtall databaseføringer som dokumentasjon. Det betyr ikke at sikkerhetshullet "gjelder et fåtall".

 

AtW

[Børt-Erik]

Det mest bekymringsverdige her er i mine øyne Remas tilbakemelding. Den er ikke tillitsvekkende.

 

Den er derimot tillit-svekkende

[Kikert]

Så basert på denne vil jeg ikke si det er rema 1000 sin feil, men hackere som har klart å gi seg tilgang, det er egentlig ulovlig.

Ikke snakk om dårlig kryptering eller sikkerhet, så vil heller si det var den personen sin feil en rema 1000.

Viktig å lese kilder. For tek.no fremstår som useriøst når de gir rema 1000 alene skyld i dette.

 

Rema har selvfølgelig en del av skylden, de bør ikke fremstilles som uskyldige. At hackingen er ulovlig gjør ikke sikkerheten bedre.... Bør bare være glad for at dette var en ærlig fyr, han burde få noen kroner i belønning.

[Ompa Kaiiizer]

Her må det gå an å gå litt dypere, siden dette er en teknologitidsskrift. Slik det står nå er det ord mot ord. Mulig å få en oppfølgingsartikkel?

 

-På hvilken måte fikk Fossum tak i dataen?

-Hvilken grunn har Fossum til å påstå at han kunne hente info om alle Æ's brukere?

-Hvilken grunn har Rema 1000 til å påstå det motsatte?

-Hvilken "kunnskap" kreves det å lese ut de krypterte dataene? Kunnskap Fossum har, tydeligvis?

-Er Rema 1000 fornøyd med å si at "det krever kunnskap" å hente ut andre kunders handleapper? Burde ikke vi som brukere kunne kreve "umulig"?

 

Eh... Fossum eller Nygård?

[Horst Tappert]

At en butikk spionerer på kundene mot rabatt er kvalmt men rimlig "normalt" innen nå,, det faktiske nye her er at hullet er åpent for alle,, og det "i henhold til internasjonale sikkerhetskrav for betalingsinformasjon" Likevel er det "ingen grunn til bekymring" fra Mette Fossum (rema ansatt) sin side. ok,,, fytti rakkeren som jeg hater sånne bedrifter.

Google \ micro$nuffers aktike amerikansk aktike løgnere og spioner.. skal gå forbi en rema 1000 butikk i dag bare for å spytte på døra di si tror jeg..

[Ompa Kaiiizer]

Forstår ikke hvorfor en del legger all skyld på rema 1000 har dårlig sikkerhet.

Blir jo som å skylde på ansatte sjekker kundenes informasjon i arbeidstiden.

Eller over VPN.

 

Men samme kan vel skje med coop også.

Eller kolional.no

 

Å sammenligne det å se på dataene til en app som "alle" har tilgang til og det å sjekke informasjon til kundene i arbeidstiden, er ikke en veldig god sammenligning. Å sjekke kundeinfo i arbeidstiden er noe man må ha tilgang til å gjøre, og oftest har man gjerne skrevet under på en taushetserklæring. Dessuten bryter man gjerne noen interne regler om man urettmessig eller unødvendig går inn og sjekker kundedata, og noe man risikerer å miste jobben for.