The North Face大量用戶帳號遭憑證填充攻擊

知名戶外服飾品牌The North Face本周稍早通知用戶，該公司網站上個月發生憑證填充攻擊，可能導致大量用戶帳號密碼已流入駭客手中。

The North Face是美國服飾公司VF Corporation旗下品牌之一。VF Corporation也於本周寄發用戶信，通知受影響的用戶。The North Face是在8月11日偵測到官網thenorthface.com有異常活動，經過調查後，判斷攻擊者對該網站發動憑證填充（credential stuffing）攻擊。

憑證填充是攻擊者從其他地方取得，像是從地下網站購買的用戶郵件信箱、使用者名稱及密碼，在另一個網站測試，旨在接管盜取目標網站用戶帳號。

根據The North Face的調查，攻擊者已取得The North Face官網用戶帳號、電子郵件和密碼，而藉由存取用戶帳號，歹徒可能取得用戶儲存在網站上的其他資訊，包括用戶姓名、出生日期、性別、電話、The North Face的使用者ID及忠誠卡（XPLR Pass）點數、購物紀錄、帳單地址、出貨地址、用戶喜好、以及帳號建立日期等。

但The North Face強調網站並未儲存用戶信用卡（或其他支付卡）資訊，因此並未受影響。The North Face網站只儲存和信用卡相連的令牌（token），這個令牌只能在The North Face網站上使用。用戶信用卡號只存在合作的第三方信用卡交易處理業者處。該公司強調，即使發生資料外洩，但攻擊者無法讀取完整的信用卡號、有效日期或3位數認證碼。

The North Face呼籲用戶變更northface.com網站的密碼，且小心近日帳號可能遭盜刷。此外這家業者也呼籲用戶應確認其他網站不要使用同一組帳號密碼。

影響人數不詳，但Bleeping Computer報導，可能有194,905人受影響。

這不是The North Face官網第一次資料外洩。2020年10月The North Face也發生憑證填充攻擊，並於隔月通知受影響的用戶。