🔴 PayHere වැඩ පෙන්නයි! 65GB ක දත්ත ලීක් කරගනී!

[sajith.xp.pk]

hethuwa mokakda kiyala kiwwe nadda? keylogger ekak kiyalawath kiwwada?

uu kiwwe too many requests yanawalu ehe server ekata. eka abnormal kiwwa.

 

[Sam924]

PDSS ප්රෝටෝකොල් එක බලන්නේ ඩේටා යන විදිහ විතරක් නෙමේ මචන්. ඩේටා සේව් වෙන විදිහ.
------ Post added on May 2, 2022 at 4:42 PM

ඒක තමා. උන් කියන්නේ data ටික උන් හරහා bank එකට submit වෙනවා කියලා විතරනෙ. උන්ගේ claim එක හැර වෙන කිසිම industry standard compliance එකක් උන් කියන්නේ නෑ data save or travel වෙන එක ගැන. එහෙම එකේ අපිට උන් save karaganne නෑ කියලා හිතන්නත් බැහැනේ නේද??

By the way, nice explaination ️

 

[kasun090354t]

Dan helakuru ayin kalaama sinhala type karanne komada. Ekath kiyapallla

 

[shenat]

Helakuru labba kawadawath dalath na. E nisa danne na. Oka dagttu ekekta wena effect eka kiyapanko

 

[kreepyprince07]

Means stripe is PCI DSS compliant,not the payhere. STRIPE is infrastructure solution provider.

 

[හෙළයෙක්]

හුකනව. mail address එකට නොදන්න address වලින් mail එනව යකෝ.. විකාර මගුල් එන්නෙත්

මේ උස්සල තියෙන ඒවගෙ හැටියට මේල් නෙවෙයි ටෙලිග්‍රැම් එහෙමත් එයි ඉස්සරහට

---

මේ එළකිරි එකේ ඉන්නේ හැම පැත්තෙන්ම වැඩ්ඩෝ බන්. එළකිරි එකේ මම ඉන්න එකම හේතුවත් එකයි. මොනවා ඇහුවත් සෙට් එකක් ඉන්නවා උපරිම දන්න ඕනේ ෆීල්ඩ් එකක . ඉස්පෙෂලි සෙක්ස්

අනිවා බයියෙක් හිටියෙත් ආයෙ හොදම එකේ උන් ඉන්නෙ. ලපයි සිපයි නෑ.
------ Post added on May 2, 2022 at 7:36 PM

---

කෝමත් මචන්ල දැන් මේ ටෙක්නොලොජි එක උපරිමේටම තියෙන ලෝකෙ වෙනම එකවුන්ට් එකක් මේන්ටේන් කරපන් කාඩ් එක යූස් කරන්න. ඔය අටෝරාසියක් තියෙන පේමන්ට් සර්ව්සි iPAY, හෙළපේ, අනම් මනන් ඒවට ඒක ලින්ක් කරල පේමන්ට් එකක් කරන්න තියෙනකොට විතරක් ට්‍රාන්සර් එක කරල සල්ලි දාන්න. ඒක කෝමත් සේෆ්.
------ Post added on May 2, 2022 at 7:39 PM

 

[kasun_kbp]

Helakuru labba kawadawath dalath na. E nisa danne na. Oka dagttu ekekta wena effect eka kiyapanko

Credit Cards, Debit Cards සේව් වෙලා නෑ කියමුකෝ.
ඒත් ඔය ලීක් එකේ අපේ සම්පූර්ණ නම්, ඇඩ්‍රස්, ෆෝන් නම්බර්, ඊමේල්ස් ,IPs අනිවා තියෙනවා.
attacker ට වෙබ්හුක් එකකින් අපේ පාස්ව්ර්ඩ්ස් ප්ලේන් ටෙක්ස්ට් වලින් ගන්න පුළුවන් වෙලා කියන්නේ
පේමන්ට් ගේට්වේස් වල ඉන්පුට් වෙන අනිත් ෆීල්ඩ්ස් ගන්න බැරි කමක් තියෙන්න බෑ.
ඔය ටික දැනටමත් සෙල් වෙවී යනවා ඇති. ෆෝරම්ස් තියෙනවා ඕනි තරම් ඕවා විකුනන්න දාන.
ලංකාවේ ඉන්න ගොඩක් එවුන් එකම පාස්වඩ් එක ලොගින්ස් ඔක්කොටම වගේ යුස් කරනවා. එහෙමත් එකෙක් ඇරනම.
ඉලෙක්ෂන් කැම්පේන්ස් කරන ඉන්දියන් කාරයෝ ටිකකට ඔය ටික ගියා නම්.

 

[HAneo]

හෙලකුරු තියා ගන්න එකත් අවුල්ද.
මගෙ කිසිම information එකක් save කරලා නෑ ඔකට සම්බන්ද කිසිම එකක. මම කරා නම් කරලා තියෙන්නේ පොඩි එකා හදපු account එකේන් log වෙලා card number ගහලා උගේ බිල් ගෙවපු එක. ඒකත් දැන් මාස හතරකින් විතර කරේ නෑ.
ඊට අමතරව මගේ තියෙන්නේ හෙලකුරු keyboard එක. ඔකෙන් තමා මම මාසෙට pay කරන හැම එකම type කරන්නේ. Bank account වලට log වෙන්නේ හැම රෙද්දම කරන්නේ.
දැන් මට මොකො වේන්නේ..

For Now
----------
card number eken international payment karanna epa danata. Local awlak na OTP ena nisa
Bank account portal eke password dan change karapan. Account eke podi ganak thiyala wena ekakata dapan ithuru tika
Mata sure na oya Helakuru key board eka logger ekak widihata wada karanawada kiyala. But for safety do not use it until this things sorted out

වැඩේ තියෙන්නේ උබ ඉන්ෆෝ සේව් කලේ නැත උනාට ගෙඩි පිටින් ගහන කාඩ් නම්බර් එකේ බෑන්ක් එකට යන්න කලින් ඔකේ db එකේ සේව් වෙනවා නම් තමා කෙස් එක. එහෙම සේව් කරන එක නීති විරෝදී වැඩක්. එත් උඩ පියවර් නිසා ඔය ඔකේ රිසක් එක අවම වෙනවා. මිට පස්සේ payment කරනකොට බෑන්ක් එකේ පොර්ටල් ඒකට ගිහින් හැම මගුලක්ම කරපන් මොකක් හරි උනොත් 100% බෑන්ක් එක වග කියන්න ඕනේ

---

මමත් payhere එක හරහා ලංකාවෙ රෙදි කඩ වලට online payments කරල තියනව.. උන්ගෙන් නම් email ඇවිත් නැහැ, වෙන නොදන්න address වලින් නම් අද mail 2 ක් ඇවිත් තිබුන.

can you post a sample here machan
------ Post added on May 2, 2022 at 7:47 PM

 

[KSPathirana]

ධනිකයා ඕක නැවෙන්න එක ටෝකක් එෆ්.බි එකේ දාපු ගමන් , අපේ උන්
-අපි දන්නවා අයියා ඕව බොරු කියල.
-අපි හැමදාම අයියා එක්ක.
- ඊමේල් එකක් පාස්වර්ඩ් එකක් ලික් වුනාට මොකද වේනනේ. අපි භාෂා සමග.
- අපේ දේ අපිට වටිනවා

කවුද ඒයි ධනික කියන්නෙ

 

[HAneo]

මේ උස්සල තියෙන ඒවගෙ හැටියට මේල් නෙවෙයි ටෙලිග්‍රැම් එහෙමත් එයි ඉස්සරහට

---

අනිවා බයියෙක් හිටියෙත් ආයෙ හොදම එකේ උන් ඉන්නෙ. ලපයි සිපයි නෑ.
------ Post added on May 2, 2022 at 7:36 PM

---

කෝමත් මචන්ල දැන් මේ ටෙක්නොලොජි එක උපරිමේටම තියෙන ලෝකෙ වෙනම එකවුන්ට් එකක් මේන්ටේන් කරපන් කාඩ් එක යූස් කරන්න. ඔය අටෝරාසියක් තියෙන පේමන්ට් සර්ව්සි iPAY, හෙළපේ, අනම් මනන් ඒවට ඒක ලින්ක් කරල පේමන්ට් එකක් කරන්න තියෙනකොට විතරක් ට්‍රාන්සර් එක කරල සල්ලි දාන්න. ඒක කෝමත් සේෆ්.
------ Post added on May 2, 2022 at 7:39 PM

මේක තමා කරන්න ඕනේ ටැක්ටික් එක. සම්පත් විශ්ව එකෙන් කෙලින්ම තව acc එකක් හදාගන්න ඕනේ සේකන්දරී ස්වින් වගේ එකක්. එකට දන්නා ලොකු ප්‍රමාන වල සල්ලි. කාඩ් ලින්ක් කල එකේ 1000 වගේ හැම වෙලේම ඉතුරු වෙන්න ගානට දාගෙන ඕනේ පය්මන්ට් එක කරන්න. හදිස්සියේ සල්ලි ඕනේ නම් own acc transfer එකක් ගහන්න තියෙන්නේ ෆෝන් එකෙන්. (1000 ක් වත් තිහාල්ල නැත්නම් හිගන්නෝ කියල හිතයි )

---

Credit Cards, Debit Cards සේව් වෙලා නෑ කියමුකෝ.
ඒත් ඔය ලීක් එකේ අපේ සම්පූර්ණ නම්, ඇඩ්‍රස්, ෆෝන් නම්බර්, ඊමේල්ස් ,IPs අනිවා තියෙනවා.
attacker ට වෙබ්හුක් එකකින් අපේ පාස්ව්ර්ඩ්ස් ප්ලේන් ටෙක්ස්ට් වලින් ගන්න පුළුවන් වෙලා කියන්නේ
පේමන්ට් ගේට්වේස් වල ඉන්පුට් වෙන අනිත් ෆීල්ඩ්ස් ගන්න බැරි කමක් තියෙන්න බෑ.
ඔය ටික දැනටමත් සෙල් වෙවී යනවා ඇති. ෆෝරම්ස් තියෙනවා ඕනි තරම් ඕවා විකුනන්න දාන.
ලංකාවේ ඉන්න ගොඩක් එවුන් එකම පාස්වඩ් එක ලොගින්ස් ඔක්කොටම වගේ යුස් කරනවා. එහෙමත් එකෙක් ඇරනම.
ඉලෙක්ෂන් කැම්පේන්ස් කරන ඉන්දියන් කාරයෝ ටිකකට ඔය ටික ගියා නම්.

වෙබ් හුක් ඕනේ නැ . අපේ ගොබ්බයො පාස්වර්ඩ් එකයි එකේ සෝල්ට් එකයි එකම රෝ එකේ සේව් කරලා තියෙන්නේ. බඩුම තමා.

පේමන්ට් ගේට්වේස් වල ඉන්පුට් වෙන අනිත් ෆීල්ඩ්ස් ගන්න බැරි කමක් තියෙන්න බෑ.

මේකෙදි ඕනේ Marchand ID , Password , key , exppearURL, PayURL මේ ටික තමා IPG එකට මර්චන් කෙනෙක් දෙන්න ඕනේ. ඔකේ අනිවා key එක උන්ගේ db එකක තියලා යනෝ නම් බඩුම තමා. DSS හරියට සෙටිෆයි උනා නම් HSM එකක් දාල මේ key ගන්න ඕනේ එකෙන් කමාන්ඩ් යවල.. ඒ වගේම අර උඩින් කිව්වා හැම කාඩ් එකකම අදාළ අකෞන්ට් ඔක්කොගෙම පාස්වර්ඩ් සේව් කරන්න ඕනේ මේ වගේ HSM එකක. hardware HSM එකක් බැරි නම් Secure Vault එකක් හරි අනිවා දාන්න කියනවා
------ Post added on May 2, 2022 at 8:03 PM

 

[shadow1]

----------

---

can you post a sample here machan
------ Post added on May 2, 2022 at 7:47 PM

Advertisement එන්නෙ මචන්..

හැබැයි ඒ Advertisement මගේ field එකටවත් මම කවදාවත් search කරපු දේවල් වලටවත් සම්බන්ධයක් නැති AD. ඒ mail වල CC එක යන්නෙත් මගෙ mail address එකටම සමාන ඒත් Gmail නොවන එකකට (CC - Myemailusername[email protected])

Advertisement එන mail address එක
From : [email protected]

 

[HAneo]

Advertisement එන්නෙ මචන්..

හැබැයි ඒ Advertisement මගේ field එකටවත් මම කවදාවත් search කරපු දේවල් වලටවත් සම්බන්ධයක් නැති AD. ඒ mail වල CC එක යන්නෙත් මගෙ mail address එකටම සමාන ඒත් Gmail නොවන එකකට (CC - Myemailusername[email protected])

Advertisement එන mail address එක
From : [email protected]

Ehenam okata related nathuwa athi machan
Btw don't reply to mails. and don't do steps mentions in the mails if you not familiar with the sender for safety

 

[KBE_KevinSpacey]

@HAneo @kasun_kbp

 

[HAneo]

@HAneo @kasun_kbp

This is Identity Verification. Identity services are basically used for web based system
We need something strong to secure payment related sensitive data. so that is why we must follow PCI Standard those are specifically for Payment and card related companies.

Now what has happened here is they have first use identity system (There web and Mobile platform) and then mix those data with the Payment system side. we can never save Card related data on less secure systems like Identity service cus they are easy to by pass. so this is actually a mistake on there side but it's not a mistake

Identity Services
https://identityserver4.readthedocs.io/en/latest/

PCI DSS
https://digitalguardian.com/blog/what-pci-compliance

SO DSS is 100% powerful than Identity

 

[@media]

ධනිකයා ඕක නැවෙන්න එක ටෝකක් එෆ්.බි එකේ දාපු ගමන් , අපේ උන්
-අපි දන්නවා අයියා ඕව බොරු කියල.
-අපි හැමදාම අයියා එක්ක.
- ඊමේල් එකක් පාස්වර්ඩ් එකක් ලික් වුනාට මොකද වේනනේ. අපි භාෂා සමග.
- අපේ දේ අපිට වටිනවා

හරියට හරි

 

[HAneo]

View attachment 169522
හරියට හරි

මෙච්චර සිම්පල් විදිහට බේරෙන්න පුලුවන්ද? පොස්ට් එකක් දාල ?

 

[milindasenarath]

Update on 2022-05-02:

On 2nd May 2022, a website ‘haveibeenpwned.com’ has listed the data that has been leaked by the attacker as a result of compromising our database during the attack. The leaked data includes names, emails, addresses, phone numbers, purchase histories, IP addresses & obfuscated card data (card type, first 6 and last 4 digits, expiry date) as per that website.

We would like to still emphasise that NO full card numbers have been compromised or leaked as we do not store full card numbers on our databases. We store only the masked card numbers returned by our partner banks after processing card payments that includes only first 6 digits (BIN number) & last 4 digits, and does not include the rest 6 digits in the middle. Since the full card number is needed to perform a card transaction anywhere, please note that this leaked obfuscated card data cannot be used to perform any financial transaction. Therefore, we confirm that there’s no financial risk due to this obfuscated card data being exposed & it’s not needed to take actions to change cards.

Express Your Reaction

https://blog.payhere.lk/ensuring-integrity-on-payhere-cybersecurity-incident/

 

[හෙළයෙක්]

Update on 2022-05-02:

On 2nd May 2022, a website ‘haveibeenpwned.com’ has listed the data that has been leaked by the attacker as a result of compromising our database during the attack. The leaked data includes names, emails, addresses, phone numbers, purchase histories, IP addresses & obfuscated card data (card type, first 6 and last 4 digits, expiry date) as per that website.

We would like to still emphasise that NO full card numbers have been compromised or leaked as we do not store full card numbers on our databases. We store only the masked card numbers returned by our partner banks after processing card payments that includes only first 6 digits (BIN number) & last 4 digits, and does not include the rest 6 digits in the middle. Since the full card number is needed to perform a card transaction anywhere, please note that this leaked obfuscated card data cannot be used to perform any financial transaction. Therefore, we confirm that there’s no financial risk due to this obfuscated card data being exposed & it’s not needed to take actions to change cards.

Express Your Reaction

https://blog.payhere.lk/ensuring-integrity-on-payhere-cybersecurity-incident/

ඔය ආර්ටිකල් එක ඊයෙ දාපු එකක් නෙවෙයි කියල ලොකු සුවර් එකක් තියෙනව.

 

[milindasenarath]

ඔය ආර්ටිකල් එක ඊයෙ දාපු එකක් නෙවෙයි කියල ලොකු සුවර් එකක් තියෙනව.

credibility eka gena nam sure ne

 

[HAneo]

මේකේ කමෙන්ට් ටික බැලුවාම ලංකාවේ ඉන්න ගොබ්බයො ගාන උබලටම හොයා ගන්න පුළුවන්. කමක් නැ මයිනා හොරකන් කලේ නැ කියන උන් 30% විතර තාම ලංකාවේ ඉන්නවනේ. ශික් බන්

---

We would like to still emphasise that NO full card numbers have been compromised or leaked as we do not store full card numbers on our databases. We store only the masked card numbers returned by our partner banks after processing card payments that includes only first 6 digits (BIN number) & last 4 digits,

According to PCIDSS third parry cannot store card no other than issuer. even if it is masked. this should be stored inside a secure vault or A HSM
Even issuer not allow to store full card number or it's track records. it is that much secure.
------ Post added on May 2, 2022 at 9:36 PM