Hackers hebben toegang gekregen tot de databases van de Spaanse modeketen Zara, waarbij persoonlijke gegevens van meer dan 197.000 klanten zijn buitgemaakt. Dit blijkt uit analyse van de datalekmeldingsdienst Have I Been Pwned. Zara is onderdeel van de Inditex Group, een van 's werelds grootste modeconcerns met meer dan 1.500 winkels wereldwijd.

Volgens Inditex betroffen de gecompromitteerde databases systemen van een voormalige technische dienstverlener. Deze bevatten informatie over zakelijke relaties met klanten in verschillende markten. Inditex benadrukte dat er geen toegang is verkregen tot namen, telefoonnummers, adressen, inloggegevens of betaalinformatie zoals bankkaarten. De operationele systemen van Inditex zelf bleven onaangetast. Tot op heden is nog niet vastgesteld welke dreigingsactor verantwoordelijk is en welke provider precies is gehackt.

De cybercrimegroep ShinyHunters heeft de verantwoordelijkheid opgeëist voor de aanval en een 140GB groot archief gelekt met documenten die vermoedelijk zijn gestolen via BigQuery-instanties met misbruik van Anodot authenticatietokens. De gelekte data bevat onder meer unieke e-mailadressen, geografische locaties, aankoopgegevens en supporttickets, aldus Have I Been Pwned. De groep gaf eerder aan data van tientallen bedrijven te hebben buitgemaakt met vergelijkbare methoden, maar werd tegengehouden door AI-gedreven detectiesystemen bij pogingen om Salesforce-data te stelen.

ShinyHunters wordt daarnaast in verband gebracht met grootschalige vishing-campagnes gericht op het verkrijgen van toegang tot Microsoft Entra, Okta en Google SSO-accounts van medewerkers en BPO-agenten. Hiermee proberen zij data te stelen uit gekoppelde SaaS-applicaties zoals Salesforce, SAP, Slack en Microsoft 365. In de afgelopen maanden claimde de groep ook datalekken bij onder andere Google, Cisco, PornHub, Match Group, Vimeo en de Europese Commissie.

Een soortgelijk incident deed zich in oktober voor bij MANGO, een andere Spaanse modeketen, waarbij persoonlijke gegevens van klanten werden gecompromitteerd via een gehackte marketingprovider. In dat geval is echter geen ransomware- of afpersingsgroep aan te wijzen.