Кибератака на благотворительные проекты через Stripe привела к утечке адресов доноров

Хакеры получили доступ к учетным записям двух благотворительных проектов, действовавших под эгидой независимых изданий, и выполнили утечку части контактной информации доноров через платежную систему Stripe. Инцидент произошел 11 августа, однако о нем стало известно позже: проекты направили письма донорам и опубликовали заявления на своих сайтах. Речь идёт о сборах в поддержку украинцев и о марафоне помощи политзаключенным.

Злоумышленники действовали через интеграцию Stripe и WooCommerce: помимо адресов, были частично раскрыты последние цифры банковских карт и названия банков держателей. Полные реквизиты и имена не найдены. Stripe перекрыла доступ и отключила интеграции, заменили ключи доступа и обратились к европейскому регулятору по защите персональных данных.

Авторы атаки не идентифицированы. Рассматриваются версии: это могли быть либо рядовые киберпреступники, либо сотрудники российских спецслужб. В контексте упоминаются примеры изданий, включённых в списки нежелательных организаций, и риск применения закона к пожертвованиям.

«Давайте» появился в феврале 2024 года благодаря кооперации редакций и фонда поддержки; сбор средств направлялся на помощь мирным украинцам, пострадавшим от войны. Ежегодный марафон «Ты не один» принёс значительную сумму; сейчас марафон призывает воздержаться от пожертвований с российских карт и со счётов за рубежом, а также учитывать ограничения российских налоговых органов по движению средств за границей.

По данным публикаций, атаки на пользователей платежной системы носили массовый характер: архив объемом 33 ГБ, как сообщает Hackread, содержал данные 669 продавцов и 1033 ключа доступа. Сам сервис не был взломан; архив не включал данные по двум проектам, записи которых заканчивались 1 июня. Ранее московский суд вынес приговор по делу о донатах ФБК — дела о пожертвованиях экстремистским и нежелательным организациям становятся одной из самых распространённых форм давления в России.