Shelly Store UK 网站被植入恶意软件，客户支付信息或泄露

英国 Shelly 智能家居产品授权经销商 Shelly Store UK 通知客户，其网站上可能被植入未经授权的软件，导致姓名、账单地址和支付卡信息可能泄露。该公司是在支付服务商 Stripe 标记可疑活动后才发现问题，并在服务器上找到恶意代码。

公司表示已移除该软件、应用安全更新、加强访问控制并引入持续监控，同时向英国信息专员办公室（ICO）报告此事并发出欺诈警示。受影响客户数量尚未披露，调查仍在进行中。

事件经过

Shelly Store UK 是英国一家销售 Shelly 智能家居产品的授权经销商。该公司向客户发出通知，称其网站上可能被植入未经授权的软件，姓名、账单地址和支付卡信息可能因此泄露。

据披露，公司并非通过自身巡检发现问题，而是在支付服务商 Stripe 标记可疑活动后才开始排查，随后在其服务器上找到了恶意代码。通知覆盖在一段未明确说明的时间窗口内下单的客户。

公司表示，目前无法确定攻击者是否访问或复制了相关数据。受影响客户的具体数量尚未公布，调查仍在进行中。

一名客户报告称，其卡片信息于 10 月 26 日在澳大利亚被用于一笔 221.28 英镑的欺诈性扣款。该客户首次也是唯一一次在 Shelly Store UK 下单的日期是 10 月 12 日，收到数据泄露通知的日期是 10 月 27 日，诈骗者正是在这一时间段内使用了其信息。

这名客户在收到公司电子邮件前数小时，已开始向发卡机构发起争议。这一案例显示，从下单到信息被滥用之间可能间隔较短，而受害者往往先于商家通知察觉异常。

Shelly Store UK 表示，已移除服务器上的恶意软件，应用了安全更新，加强了访问控制，并引入持续监控，以降低再次发生的风险。

公司同时向客户发出欺诈警示，建议联系发卡机构更换卡片、仔细检查交易记录并报告可疑条目，同时提醒警惕索要支付信息或安全码的通信，并重置密码。

该公司已将事件报告给英国信息专员办公室（ICO）。根据英国 GDPR，组织必须向 ICO 报告可能危及个人权利和自由的个人数据泄露事件。ICO 可对严重违规行为处以最高 1750 万英镑或全球年营业额 4% 的罚款，不过公司尚未说明是否会面临处罚。

在责任归属上，Shelly Group 一名发言人表示，Shelly Store UK 完全独立于 Shelly Group，不属于后者所有，也不与其直接关联；Shelly 不管理该经销商的网站或其业务运营，也不会将 Shelly 网站的用户引导至该商店。

数字权利倡导者指出，支付处理商往往充当第一道防线，通过标记异常情况使小型商家暴露在监管审查之下。此次事件也凸显了供应链攻击对处理敏感金融数据的经销商所构成的风险。

对于在该商店下过单的消费者，公司给出的建议集中在两点：一是主动与发卡机构沟通，必要时更换卡片；二是核对账单与交易记录，发现可疑扣款及时报告。

此外，消费者应警惕任何索要支付信息或安全码的通信，并对相关账户密码进行重置。由于受影响客户范围和调查结论尚未公布，后续情况仍有待公司进一步说明。