Ein weiteres Unternehmen konnte seine Datenbank nicht sichern, und 198 Millionen Autokäufer wurden entlarvt

Viel zu oft werden hohe Kosten als Hauptgrund dafür angeführt, dass die privaten Daten von Menschen nicht geschützt werden. Wenn Unternehmen einen Cyberangriff erleiden, neigen sie dazu, zu behaupten, dass sie die richtigen Tools verwendet und die richtigen Leute eingestellt hätten, wenn es nicht so teuer gewesen wäre.

In vielen Fällen müssen Unternehmen jedoch keine Millionen ausgeben, um die Informationen von Personen zu sichern. Oft reicht es aus, einige der grundlegendsten Fehler zu vermeiden. Dies wird durch einen kürzlich aufgetretenen Datenschutzvorfall bestätigt, an dem ein Netzwerk von Websites von DealerLeads beteiligt war.

Fast 200 Millionen Autokäufer haben ihre Daten ausgesetzt

Im August Jeremiah Fowler von SecurityDiscovery.com entdeckten eine Datenbank mit den Namen, E - Mails, Telefonnummern, physikalische und IP - Adressen und andere identifizierbare Informationen von sage und schreibe 198 Millionen Menschen enthält. Zuerst kämpfte er darum herauszufinden, wem der 413-GB-Datensatz gehörte, aber nach einigen Nachforschungen stellte er fest, dass er zu DealerLeads gehörte. Erste Berichte per E-Mail blieben unbeantwortet, aber als er den Hörer abnahm, wurde das Unternehmen aktiv und traf die erforderlichen Vorkehrungen, um die Daten zu sichern.

Aber wie hat DealerLeads diese Informationen überhaupt gesammelt? Und wie wurden die Daten entlarvt?

Das Geschäftsmodell von DealerLeads dreht sich um den Kauf und Verkauf von neuen und alten Autos. Eigentlich handelt das Unternehmen aber nicht mit Autos. Stattdessen hat es ein Netzwerk von gut SEO-Websites, die eine große Anzahl von Autokäufern anziehen, und es leitet sie an Händler weiter, die für den zusätzlichen Verkehr und die Kunden zahlen.

Die Informationen, die Jeremiah Fowler fand, wurden offenbar gesammelt, als die potenziellen Autokäufer noch auf den Websites von DealerLeads waren. Es ist schwierig zu sagen, wie gut die Benutzer über die Datenerfassung informiert waren, und es ist auch unklar, was DealerLeads damit anfangen wollte. Was auch immer der Zweck der Datenbank war, sie war nicht so gut geschützt, wie es hätte sein sollen.

Ein weiterer Datenverstoß aufgrund eines grundlegenden Konfigurationsfehlers

Leider handelt es sich wieder einmal um eine riesige Datenbank voller sensibler Informationen, auf die jeder mit einem Browser zugreifen konnte. Wieder war es ein ElasticSearch-Server, der dem Internet ausgesetzt war, und wieder war er nicht durch ein Passwort geschützt.

Es ist die neueste in einer sehr langen Linie von massiven Daten Exposition Vorfälle , die nicht passiert , weil die Cyber - Kriminellen zu klug oder anspruchsvoll waren, sondern weil die Unternehmen verantwortlich für die Menschen informieren nicht tun , was sie tun musste.

Wir sprechen nicht über teure Sicherheitslösungen. Wir sprechen von einem Mangel an grundlegendem Verständnis der verfügbaren Tools und ihrer Schutzmechanismen. Dies entspricht dem Speichern aller vertraulichen Daten auf einem Smartphone und dem unbeaufsichtigten und entsperrten Aufbewahren des Geräts an einem öffentlichen Ort. Der Unterschied besteht darin, dass bei DealerLeads fast 200 Millionen Menschen betroffen waren. Wie besorgt sollten diese 200 Millionen Menschen sein?

Möglicherweise haben Cyberkriminelle auf die durchgesickerten Daten zugegriffen

Die Datenbank wurde am 20. August offline geschaltet, kurz nachdem Jeremiah Fowler dies gemeldet hatte. Allerdings sagt niemand, wie lange es ausgesetzt war, und obwohl es schwierig ist zu sagen, ob Fowler es als erster entdeckte, gab der Forscher selbst zu, dass er es "mehrere Male" vor seinem Bericht gesehen hatte. Mit anderen Worten, es wird nicht allzu überraschend sein, wenn sich herausstellt, dass die Daten bereits in die falschen Hände geraten sind, was die Abneigung von DealerLeads, eine öffentliche Erklärung abzugeben, noch seltsamer macht.

Momentan gibt es nichts Offizielles und es ist schwer zu sagen, ob das SEO-Geschäft die betroffenen Benutzer einzeln kontaktiert. In jedem Fall sollte der Vorfall nicht unterschätzt werden.

Es gibt genug identifizierbare Informationen, um in der realen Welt eine Menge Schaden anzurichten, und das Vorhandensein von IP-Adressen und anderen Daten in der falsch konfigurierten ElasticSearch-Installation öffnet auch die Tür für Kriminalität in der digitalen Welt. Wenn Sie der Meinung sind, dass Ihre Daten möglicherweise offen gelegt wurden, sollten Sie noch vorsichtiger sein als sonst.