Группировка Lapsus$ взломала экстранет Adidas и заявила о краже 815 000 строк данных: имена, email, пароли, даты рождения, названия компаний и технической информации. Adidas подтвердила инцидент, но указала, что атака была направлена на независимого партнёра-дистрибьютора, работающего на собственной инфраструктуре. Собственные системы компании, интернет-магазины и данные покупателей якобы не затронуты.

Однако реальный масштаб оказался значительно меньше громких заявлений. Анализ опубликованных SQL-файлов показал, что дамп содержит данные клиентов и сотрудников компаний-реселлеров, и реально затронуто около 130 аккаунтов. При этом хакеры утверждают, что располагают 420 ГБ данных Adidas, связанных с французским рынком, и обещают «кое-что покрупнее».

Это уже третья утечка у Adidas менее чем за год. В мае 2025 данные утекли через стороннего поставщика клиентского сервиса. В октябре 2025 коалиция Scattered Lapsus$ Hunters включила Adidas в список 40 жертв кампании против клиентов Salesforce, заявив о краже 37 ГБ данных. Тогда атака строилась на голосовом фишинге: хакеры звонили сотрудникам от имени IT-поддержки и выманивали доступ к OAuth-токенам.

Три инцидента за десять месяцев через сторонних партнёров ставят под вопрос способность Adidas контролировать безопасность своей партнёрской экосистемы.

Hacker's TOYS