Крупнейшая российская сеть фитнес-клубов DDX Fitness расследует возможную кражу фото и данных клиентов
изображение: grok
У сети DDX Fitness мог случиться масштабный инцидент с персональными сведениями посетителей — в даркнете появились архивы с фотографиями клиентов, датами их визитов, покупками и адресами клубов. Сама компания факт взлома пока не подтверждает и проводит внутреннюю проверку. Пострадать потенциально могли данные из клиентской базы, превышающей 900 тыс. человек.
О возможной проблеме 13 августа рассказал Telegram-канал Baza. По его сведениям, архивы всплыли в даркнете и на закрытых форумах. Набор оказался довольно подробным — вместе с изображениями людей там фигурируют даты и время посещений, количество визитов, сведения о покупках и адреса конкретных клубов.
Самая неприятная часть предполагаемой утечки связана с фотографиями. Значительная доля снимков была сделана прямо на стойках регистрации при оформлении абонементов, а теперь потенциально оказалась доступна посторонним. По отдельным записям можно восстановить, когда человек приходил в клуб, сколько раз туда заглядывал, что покупал и какое отделение использовал.
Что известно о предполагаемом массиве данных:
- фотографии клиентов, сделанные при оформлении абонементов;
- даты и время посещения клубов;
- количество визитов в разрезе каждого посетителя;
- сведения о покупках внутри сети;
- адреса конкретных клубов, где бывал клиент;
В DDX сообщили, что знают о публикациях и уже проводят внутреннюю проверку. Представители сети пока не раскрывают, был ли действительно осуществлён несанкционированный доступ к системам, какие сведения могли оказаться у третьих лиц и сколько клиентов потенциально затронуто. До завершения проверки говорить о точном размере предполагаемого массива преждевременно.
DDX Fitness считается крупнейшей сетью фитнес-клубов в России и объединяет 168 клубов в 64 городах. У сети есть собственная цифровая инфраструктура, связанная с управлением клубами и обслуживанием посетителей — через мобильное приложение клиенты проверяют состояние подписки и записываются на тренировки. Поэтому вопрос о том, какие системы могли быть затронуты, становится довольно чувствительным.
Пока неизвестно, каким образом предполагаемый массив оказался в руках посторонних. Вариантов у подобных инцидентов немало — от взлома корпоративной инфраструктуры до компрометации отдельного сервиса или учётной записи сотрудника. Без результатов внутреннего расследования выбирать конкретную версию было бы преждевременно.
Фотография клиента сама по себе может показаться не самым ценным элементом базы, но вместе с журналом посещений она формирует гораздо более подробный профиль человека. Если добавить сведения о покупках и клубе, объём потенциально раскрытой информации становится куда интереснее для злоумышленников. При этом наличие архивов на закрытых площадках ещё не доказывает, что все опубликованные данные действительно принадлежат DDX и получены в результате взлома инфраструктуры сети.
