324000份带有CVV号码的财务记录从支付网关被盗

BlueSnap是一家支付提供商，允许网站通过提供商户设施从客户处收取款项，而RegPack是一个全球在线注册平台，使用BlueSnap处理其在线注册的金融交易。
数据泄露最初是在7月10日报道的，当时一名黑客在Twitter上发布了一个链接，指向一个文件，其中包含大约324000条据称从马萨诸塞州沃尔瑟姆的BlueSnap窃取的记录。

这条推文后来被删除了，但澳大利亚安全专家特洛伊·亨特（Troy Hunt）拿了一份推文副本供日后审查，以分析数据。分析后，他发现泄露的支付记录很可能是合法的。

包括CVV代码在内的支付卡数据泄露

该数据包含2014年3月10日至2016年5月20日期间登记的用户详细信息，包括姓名、电子邮件地址、实际地址、电话号码、IP地址、信用卡号的最后四位数字，甚至CVV代码，以及包含购买详细信息的发票数据。

据亨特所说，他拥有我被打败了吗“违反通知服务”，一些证据，比如文件名中包含“BlueSnap”和“Plimus”，表明数据来自BlueSnap。

Plimus是BlueSnap的原名，2011年，私募股权公司Great Hill Partners以1.15亿美元收购了该公司，之后该公司更名为BlueSnap。
然而，自2013年4月以来，Regpack一直在使用BlueSnap的支付平台，被盗数据可能来自Regpack。

亨特在一篇博客文章中解释说：“我们有899个完全独立的Regpack服务消费者……他们直接向Regpack发送数据，然后将支付数据传递到BlueSnap进行处理。”。

“除非我遗漏了工作流程的一个基本部分……看起来责任几乎肯定在于这两方中的一方。”

不管来源是什么，但这里最主要的担忧是超过32万被盗用户的财务信息在网络上四处传播。

亨特强调，尽管支付数据不包含完整的信用卡号，但网络犯罪分子仍然可以滥用泄露的信息，尤其是CVV代码，这些代码是非常有价值的支付数据，可用于进行“无卡”交易。

此外，任何用户信用卡号的最后四位数字也可以用于身份验证，这在进行社会工程攻击时非常有用。

亨特联系了BlueSnap和Regpack，但他们都否认存在数据泄露。他还将多达10.5万个电子邮件地址加载到了“我被封了”中，因此你可以在网站上搜索你的地址，以检查你是否受到了该漏洞的影响。