Data na nesprávném místě: Počet incidentů a úniků dat roste

12. 10. 2017 v sekci Článek

Před nedávnem svět ICT bezpečnosti šokoval jeden z nejzávažnějších úniků dat, který postihl společnost Equifax. Nedlouho nato informovala o podobném incidentu (menšího rozsahu) společnost Deloitte. Nyní se s  nepříjemnostmi potýká také SVR Tracking, firma, která se zaměřuje na sledovací zařízení do aut.

Na internetu se objevily volně přístupné údaje o 540 000 účtech uživatelů SVR Tracking – v nepovolaných rukách tak mohly skončit přihlašovací a osobní údaje uživatelů, ale také informace týkající se jejich vozidel. Za vším je uložení databáze s údaji na nezabezpečený a špatně nakonfigurovaný server.

Podobnou chybu přitom před pár dny předvedl mediální gigant Viacom, který doslova vystavil citlivá data a přístupové klíče na nezabezpečeném Amazon S3 serveru. Šlo o takové informace, které by podle expertů mohly v rukách útočníků způsobit skutečně vážné problémy. Podle bezpečnostních odborníků by se tak snadno v ohrožení ocitly i cloudové servery náležící značkám z portfolia Viacomu, jako je MTV, Paramount Pictures nebo Nickelodeon. Šlo o ukázkový příklad uložení citlivých dat na nesprávném místě, a že to byl opravdu opovážlivý přešlap dokazuje i to, že, mezi „vystavenými“ údaji nechyběl ani hlavní přístup k AWS účtu.

Na otevřený, přístupný a konfigurovatelný web server Amazonu, který v mezipaměti obsahoval i data patřící SVR, upozornili odborníci z Kromtech Security Center. Jak dlouho měla „široká veřejnost“ otevřený přístup k citlivým informacím není známo. Záznamy o 540 000 účtech obsahovaly e-mailové adresy, ale také data týkající se automobilů, jako je VIN (identifikační číslo vozidla) nebo IMEI čísla GPS navigace. Dalším proviněním proti bezpečnostním zásadám bylo samozřejmě také šifrování – databáze byla šifrována starým a překonaným SHA-1 algorytmem.

Mezi uniklými údaji se nachází také záznamy obsahující fotografie a informace o stavu vozidla a jeho údržbě nebo údaje o tom, kde přesně se v autě nachází skryté trackovací zařízení.

Vzhledem k tomu, že sledovací zařízení SVR monitoruje vozidlo všude a uchovává záznam za posledních 120 dní, může každý, kdo má přístup k uživatelským přístupům, sledovat vozidlo v reálném čase a vytvořit detailní mapu lokalit, které vozidlo navštívilo. Díky tomu případní útočníci snadno získají dokonalý přehled, kde a kdy se kdo nachází.

Kromtech Security Center samozřejmě na špatně nakonfigurovaný AWS S3 cloud storage okamžitě upozornil, bezprostředně poté byla ze strany SVR zjednána náprava. Zatím není jasné, zda stačil někdo využít příležitosti a „dopomoci si“ k zajímavým datům, která by se dala dobře zpeněžit.

Zdroj: THN






Tento web používá cookies. Více informací ROZUMÍM