Videobutikskedjan Hemmakväll har drabbats av ett allvarligt dataintrång. Kundregistret med nästan 50.000 personer, komplett med krypterade lösenord och personuppgifter, sprids nu öppet på nätet.
Kundregistret hade i sin helhet legat publicerat sedan i fredags. Men först på onsdagseftermiddagen, sedan DN informerat Hemmakväll, upptäckte företaget vad som hade hänt.
Strax därefter stängdes webbplatsen tillfälligt ner.
Filen som sprids innehåller uppgifter om nära 50.000 kunder som har registrerat sig på Hemmakvall.se. Den innehåller fullständigt namn, e-postadress, gatuadress, mobilnummer och uppgifter om när personen registrerade sig.
Dessutom ligger där ett lösenord som är ”hashat”, vilket kan liknas vid en kryptering. Men vid tidigare läckor har personer som har kommit över registret omgående börjat försöka knäcka krypteringen. När det lyckas så kommer angriparen över det riktiga lösenordet i klartext.
Bland e-postadresserna i läckan finns flera som tillhör polisen, riksdagen, departement, stora kommuner och myndigheter som Skatteverket och Försäkringskassan. Två av dem hör till det svenska försvaret, varav en tillhör en överstelöjtnant.
Läckan exponerar inte e-postadressernas lösenord i sig. Men efter att liknande databaser har hackats tidigare har det visat sig att många använder samma lösenord till sina professionella mejllådor som till helt andra sajter. Det finns därför en risk att angripare använder läckor som dessa för att göra intrång mot personernas privata eller professionella mejl.
– Jag måste tyvärr bekräfta att vårt handelssystem har blivit hackat. Vi beklagar verkligen det och vi ser allvarligt på det, säger Jaana Thorén, marknadschef på Hemmakväll.
Intrånget polisanmäldes på onsdagseftermiddagen. Säkerhetshålet i mjukvaran, e-handelsplattformen Magento som driver sajten, ska även ha åtgärdats innan den startades igen. Leverantören ska ha upptäckt säkerhetshålet som hackarna utnyttjade helt nyligen.
– Men tyvärr han vi bli hackade innan det upptäcktes.
Jaana Thorén säger att krypteringen av lösenorden är kraftfull och tonar ner risken för att de kunna knäckas. Men Hemmakväll kommer ändå vidta åtgärder.
– För att säkerheten är så oerhört viktig för oss har vi påbörjat ett arbete med att byta alla lösenord, säger hon.
Hemmakväll driver över 100 videouthyrningsbutiker över hela landet. Företaget omsatte i fjol 459 miljoner kronor. Webbplatsen har fungerat som en e-handelssajt för bland annat köpfilmer.
Det är ännu oklart vem som ligger bakom intrånget. Registret sprids via en webbplats specialiserad på stulen information, som i sin presentation säger sig vara ute efter att göra allmänheten medveten om faran med läckor. Men ingenting tyder på att personerna som driver sajten skulle ligga bakom själva intrånget.
Det är inte heller känt i vilken utsträckning angriparna har börjat knäcka lösenord. Hur komplicerat och tidsödande det är beror på en rad faktorer, hur avancerade lösenord användaren har valt, vilken datorkapacitet angriparen har tillgång till och hur väl utformat Hemmakvälls system är.