Folgendes passiert, wenn ein Sprint-Auftragnehmer AT&T-, T-Mobile- und Verizon-Rechnungen veröffentlicht

Deardorff Communications, ein in Georgia ansässiges Marketing- und Kommunikationsunternehmen, gibt auf seiner Website (die nicht über HTTP, sondern über HTTPS geladen wird) an, dass sein Team in einer Vielzahl von Bereichen, einschließlich der strategischen Planung, über große Erfahrung verfügt. Vertrieb, Werbung usw. Bei der Konfiguration von Amazon Web Service-Speicher-Buckets mangelt es leider an Fachwissen.

Ein Deardorff-Mitarbeiter hat etwas mehr als eine Viertelmillion Dokumente in einen Amazon S3-Bucket gestellt, kein Kennwort festgelegt und vergessen, die Einstellungen für die Barrierefreiheit von "öffentlich" in "privat" zu ändern. Infolgedessen konnte der Bucket zusammen mit allen darin enthaltenen Dateien von überall auf der Welt angezeigt werden. Es überrascht nicht, dass Forscher eines Penetrationstest-Unternehmens namens Fidus Information Security, die auch einen Sicherheitsmangel im neuen eRosary des Vatikans sowie ein Datenleck von Magic: The Gathering's Publisher aufgedeckt hatten, Deardorffs Eimer untersuchten.

Telefonrechnungen und viele vertrauliche Informationen wurden offen gelassen

Es befanden sich etwas mehr als 260.000 Dokumente im Eimer. Bei den meisten handelte es sich um Handyrechnungen der Abonnenten von AT&T, T-Mobile und Verizon. Deardorff hat all diese Dateien gesammelt, weil Sprint, einer ihrer größten Kunden, Abonnenten davon überzeugen wollte, ihren Mobilfunkanbieter zu wechseln. Laut einem der Dokumente war Sprint sogar bereit, die Gebühren für die vorzeitige Beendigung zu zahlen, nur um sicherzustellen, dass mehr Menschen seine Dienste nutzen.

Die Telefonrechnungen selbst enthalten eine ganze Menge persönlicher Informationen und Kontaktdaten sowie häufig Anruflisten, die manche Menschen wahrscheinlich lieber nicht mit dem Rest der Welt teilen. Darüber hinaus fanden die Forscher einen Kontoauszug und einen Screenshot, in dem die Online-Benutzernamen, -Passwörter und -PINs einer unbekannten Anzahl von Abonnenten angezeigt wurden.

Zunächst war nicht klar, wer die Daten veröffentlicht hatte. Kurz nachdem sie den Eimer gefunden hatten, benachrichtigten die Experten Amazon, das sich mit dem Eigentümer der Daten in Verbindung setzte und sie offline schalten ließ. Aus rechtlichen Gründen weigerte sich Amazon jedoch, Fidus mitzuteilen, wer für das Leck verantwortlich war.

Die Daten wurden jedoch mit Zack Whittaker von TechCrunch geteilt, der einige der Dateien durch einen Metadaten-Checker laufen ließ und erfuhr, dass sie wahrscheinlich Deardorff gehörten. Jeff Deardorff, der Präsident des Marketingunternehmens, gab zu, dass einer seiner Mitarbeiter für das Leck verantwortlich war, und versprach, dass er alles tun werde, um herauszufinden, was schief gelaufen ist und was getan werden kann, um ähnliche Vorfälle in Zukunft zu verhindern.

Solche Datenlecks sind viel zu häufig

Einige von Ihnen könnten sagen, dass dies alles andere als der schrecklichste Vorfall in Bezug auf die Datensicherheit ist und dass viele andere Dokumente weitaus gefährlicher sein können. Ein kurzer Blick auf Ihre aktuelle reguläre Telefonrechnung zeigt jedoch, dass ein ungefährlicher Zettel tatsächlich Informationen enthält, die leicht zu Identitätsdiebstahl führen können. In diesem speziellen Fall enthüllte Deardorff auch die Passwörter und PIN-Nummern der Abonnenten, was das Risiko von Angriffen wie SIM-Tausch und Identitätsdiebstahl erhöht.

Das eigentliche Problem ist, dass täglich ähnliche Lecks auftreten. Meistens werden sie durch leicht vermeidbare und relativ einfache Konfigurationsfehler verursacht. Mangelnde Schulung bedeutet jedoch, dass IT-Mitarbeiter nicht wissen, was sie tun sollen, wenn sie die Aufgabe haben, Benutzerdaten sicher zu speichern.

Deardorff hat nicht gesagt, wann der Eimer zum ersten Mal für die Öffentlichkeit geöffnet wurde, und niemand kann bestätigen, ob es Cyberkriminellen gelungen ist, ihn zu erreichen, bevor er offline geschaltet wurde. Zack Whittaker bat AT&T, Verizon und T-Mobile um weitere Kommentare, erhielt jedoch keine wesentlichen Informationen, höchstwahrscheinlich, weil die drei Telekommunikationsanbieter einfach nichts hinzuzufügen hatten. Das Ergebnis ist, dass wir nicht wissen, wie viele Personen potenziell von dem Leck betroffen waren. Wenn Sie also ein AT&T-, Verizon- oder T-Mobile-Abonnent sind oder von ihnen zu Sprint gewechselt sind, möchten Sie dies möglicherweise Achten Sie auf Anzeichen von Betrug oder Identitätsdiebstahl.