Poważna wpadka Netfliksa w Polsce. Dane kilku tysięcy Polaków wyciekły

Jeśli chcieliście przerażającej zabawy w Squid Game Arena, to będziecie mieli przerażającą zabawę. Wasze dane wyciekły… (teraz lecą te kolorowe paski i dżingiel)

OK, dość żartów, bo sprawa jest poważna.

Miał być konkurs od Netfliksa, a jest wyciek danych

Squid Game to emitowany na Netfliksie południowokoreański serial telewizyjny. Opowiada on o ludziach, którzy biorą udział w bardzo niebezpiecznej rywalizacji, w której do wygrania jest 45,6 miliarda koreańskich wonów (jeden won jest warty ok 0,0030 PLN). W związku z tym serialem organizowane jest wydarzenie Squid Game Arena, podczas którego odbywa się premierowy pokaz odcinka nowego sezonu, a ponadto uczestnicy biorą udział w aktywnościach fizycznych. Jak zapewne się domyślacie, dla fanów serialu wejściówka na to wydarzenie jest dość cenna.

Wejściówkę da się wygrać w ramach konkursu organizowanego w Polsce za pośrednictwem strony Squidgamearena[.]pl W regulaminie konkursu wydarzenie jest opisane jako poważna i “niebezpieczna” sprawa.

Udział w Evencie związany będzie z intensywną aktywnością fizyczną, w związku z tym może okazać się nieodpowiedni dla osób, które ze względu na swój stan zdrowia lub kondycję fizyczną (np. ciąża, niepełnosprawność fizyczna) nie będa mogły w nim uczestniczyć. W przypadku wątpliwości Uczestnik powinien skonsultować możliwość wzięcia udział w Konkursie z lekarzem lub specjalistą.

Uczestnicy tego konkursu musieli też wypełnić i przesłać formularz zgłoszeniowy podając w nim swoje imię, numer telefonu oraz adres e-mail, a także odpowiedź na pytanie konkursowe:

„Wyobraź sobie hipotetyczną sytuację: Dostajesz szansę wymyślenia nowej gry w Squid Game. Jest jeden warunek – musi bazować na zabawie z Twoich lat dziecięcych. Opisz, jak mogłaby wyglądać ta konkurencja.”

Niestety wygląda na to, że uczestnicy niebezpiecznej zabawy ucierpieli zanim jeszcze wydarzenie się rozpoczęło.

Można było pobrać całą bazę uczestników

Napisało do nas kilku Czytelników, którzy wygrali i od Netfliksa otrzymali e-maile do linka z formularzem związanym z opisaną wyżej akcją:

Mail od Netfliksa

Niestety po kliknięciu w link ich oczom otwierała się strona, która wyglądała tak.

Ojej! A co to?

Można sądzić, że albo na stronie coś źle się wyświetliło, albo odbiorcy e-maili otrzymali link, którego dostać nigdy nie powinni. Jak widzicie, można było pozyskać tabelkę z takimi polami jak “imię”, “e-mail”, “odpowiedź” i “status”. Na górze można było zobaczyć przyciski takie jak “zarządzaj influencerami” albo “eksportuj do Excela”. Jeśli ktoś wypróbował tę opcję to mógł pobrać interesujący plik o nazwie users.xlsx.

Plik users.xlsx

Tabela w arkuszu kalkulacyjnym miała ponad 4800 wierszy. W każdym z nich było imię, adres e-mail i numer telefonu.

Wypada tu podkreślić, żę w polu “imię” zdarzały się pełne imiona i nazwiska, choć były i takie osoby, które podały wyłącznie pseudonim. Pole “influencer” najczęściej było nieuzupełnione, ale jeśli już było to znajdował się w nim pseudonim. Dość sporo e-maili również zawierało imię i nazwisko, również u takich osób, u których informacje wpisane w polu imię tych danych nie ujawniały.

Metodami OSINT potwierdziliśmy, że dane w eksportowanym pliku XLSX są autentyczne (dotarliśmy nawet do zdjęć i profili kilku osób).

Co na to organizator konkursu?

Netflix nie jest firmą, z którą łatwo się skontaktować, choć próbowaliśmy ich wywołać na Twitterze. Myślicie, że nie zrozumieli aluzji do serialu?

Firma ma jednak swoje “centrum dla mediów”, ale trzeba złożyć wniosek, aby być dziennikarzem mającym uprawnienia do tego zasobu. Cóż. Złożyliśmy wniosek.

O ile ciekawi jesteśmy zdania Netfliksa to nie jest on jedyną firmą, która powinna się wypowiedzieć. Z regulaminu konkursu wynika, że był on organizowany na zlecenie Netfliksa przez spółkę BOSKO TRĘBICKA KWIECIEŃ WOJNAROWSKI SPÓŁKA JAWNA (Rondo Ignacego Daszyńskiego 2 B, 00-843 Warszawa). Wysłaliśmy już pytania na adres organizatora konkursu i podejmiemy dodatkowe próby kontaktu. Jeśli tylko otrzymamy odpowiedzi to zaktualizujemy ten tekst.

Ale już teraz, wszystkim biorącym udział w tej akcji platformy Netfliksa rekomendujemy:

Brałem udział w konkursie Netfliksa, co robić, jak żyć?

• Uważajcie na telefony lub e-maile, w których ktoś może podszywając się pod Netflix i powołując się na przekazane przez Was w ramach akcji dane próbować pozyskać od Was więcej informacji. Np. skan dowodu w celu odebrania nagrody.
• Jeśli jesteście influencerami, różni “dowcipnisie” zapewnie zaraz będą do Was dzwonić z “heheszkami”, tak jak było to w przypadku niedawnego wycieku z pewnego odzieżowego sklepu. Niewykluczone, że grany będzie też spoofing, bo choć weszło nowe prawo, to podszywanie się pod cudze numery dalej jest możliwe.

Trzymając się klimatu serialu, na pocieszenie powiemy tak: zawsze mogło być gorzej!

Aktualizacja 12.12.2024 21:19

Biuro prasowe Netfliksa potwierdziło incydent i przekazało nam następujące oświadczenie.

11 grudnia nieuprawnione osoby uzyskały dostęp i pozyskały informacje ze strony konkursowej wykorzystywanej do wydarzenia Squid Game Arena – www.squidgamearena.pl.

Strona była zarządzana przez zewnętrzną agencję – w momencie uzyskania informacji niezwłocznie podjęto kroki, aby naprawić błąd. Firma zarządzająca stroną natychmiast wstrzymała proces zapisów i zablokowała logowania, aby uniemożliwić dalszy nieuprawniony dostęp.

Pracujemy teraz nad poinformowaniem wszystkich uczestników konkursu, których dotyczy ta sytuacja i udzieleniem im odpowiedniego wsparcia, a uczestnicy, którzy wygrali udział w Squid Game Arena, zostaną wkrótce poinformowani o szczegółach wydarzenia.