Хакеры получили имейлы доноров проекта «Давайте» и марафона «Ты не один»

НАСТОЯЩИЙ МАТЕРИАЛ (ИНФОРМАЦИЯ) ПРОИЗВЕДЕН И РАСПРОСТРАНЕН ИНОСТРАННЫМ АГЕНТОМ THE BELL ЛИБО КАСАЕТСЯ ДЕЯТЕЛЬНОСТИ ИНОСТРАННОГО АГЕНТА THE BELL. 18+

11 августа злоумышленники получили доступ к кабинетам двух благотворительных проектов российских независимых медиа в платежной системе Stripe и вытащили электронные адреса части жертвователей. Пострадали сбор помощи украинцам «Давайте» и марафон помощи политзаключенным «Ты не один». Оба проекта сообщили об атаке сегодня: они разослали письма донорам и опубликовали заявления на своих сайтах — «Давайте» и «Ты не один». Информацию подтвердили The Bell в «Давайте».

Что утекло

Атака на «Давайте» длилась 61 секунду. Оба проекта описывают один и тот же способ проникновения: через интеграцию Stripe с сервисом WooCommerce, который каждый из них использовал для проведения онлайн-аукционов.

Кроме адресов почты в отдельных случаях утекли последние четыре цифры карты и данные о выпустившем ее банке, сообщают оба проекта. Полные номера карт, имена держателей и информация о самих пожертвованиях не пострадали. Stripe заблокировал доступ и не дал забрать весь массив адресов, говорится в заявлении марафона. В «Давайте» добавляют, что Stripe не видит мошеннических операций по счетам. После утечки «Давайте» отключил интеграции, перевыпустил ключи и уведомил о случившемся европейского регулятора по защите персональных данных.

Кто стоит за атакой, ни в одном из проектов не знают. Обе команды называют две версии: обычные кибермошенники или российские силовики.

Какие риски

«Давайте» — сбор в пользу пострадавших от войны гражданских украинцев, который в феврале 2024 года запустили «Служба поддержки», «Медуза» и «Дождь». Те же медиа вместе с «Медиазоной» и структурами ФБК ежегодно проводят марафон «Ты не один»: в 2024 году он собрал более €378 тысяч. 

«Медузу» власти России объявили нежелательной организацией в январе 2023 года, «Дождь» — в июле, Helpdesk Media Foundation (юрлицо «Службы поддержки») — в декабре, ФБК признан экстремистской и террористической организацией. Статья 284.1 УК о предоставлении или сборе средств для нежелательной организации предусматривает до пяти лет лишения свободы.

Марафон, который и раньше не принимал платежи с российских карт, теперь советует донорам не оформлять пожертвования даже с иностранных, если они живут или бывают в России либо отчитываются перед российской налоговой о движении средств по зарубежным счетам. «Давайте» рекомендует жертвователям осторожно планировать поездки в Россию.

«Давайте» запросил у Stripe данные, чтобы понять, столкнулись ли с похожей активностью другие клиенты платежной системы. Массовая кампания против них действительно идет: 18 августа на форуме PwnForums хакер под ником Satanic выложил архив на 33 ГБ с данными 669 продавцов, работающих со Stripe, и 1033 ключами доступа к их аккаунтам, писал Hackread. Сама платежная система взломана не была, утекли ключи продавцов. Но записи в том архиве обрываются на 1 июня, так что данные двух проектов в него попасть не могли.