Massiver Datenverstoß trifft Millionen von Cannabis-Erzeugern
GrowDiaries, eine Community-Plattform für legale Cannabis-Züchter, mit der sie ihre Produktion verfolgen können, wurde zum jüngsten Opfer einer Datenverletzung.
GrowDiaries begann als ein Ort, an dem seine Benutzer "detaillierte Nachverfolgungen der Cannabisanbaupraktiken" durchführen können. Es bietet Tracking-Tools und ein digitales Journal. Auf der firmeneigenen Website heißt es, dass GrowDiaries "absolut sicher ist, Informationen zu verwenden und zu speichern".
Der Sicherheitsforscher Volodymyr Diachenko entdeckte jedoch eine GrowDiaries-Datenbank mit 1,4 Millionen Benutzerdatensätzen, einschließlich IP-Adressen und E-Mails, sowie 2 Millionen weiteren Datensätzen zu Benutzerbeiträgen auf der Plattform und Kontokennwörtern, die zumindest in Hash-Form gespeichert wurden.
Wie Diachenko betonte, wurde als Hashing-Methode MD5 verwendet, was alles andere als sicher ist. Es gibt tatsächlich kostenlose Online-Tools, mit denen Zeichenfolgen entschlüsselt werden können, die mit MD5 gehasht wurden ein Kinderspiel für schlechte Schauspieler sein.
Zu den IP-Adressen in der Datenbank gehörten auch viele, die aus US-Bundesstaaten und anderen Ländern stammen, in denen der Anbau von Cannabis nicht legal ist.
Der Grund, warum auf die Datenbanken zugegriffen werden konnte, ist, dass GrowDiaries zwei ungesicherte Kibana-Plattforminstanzen hinterlassen hat. Nach seiner Entdeckung der fehlerhaften Kibana-Instanzen alarmierte Diachenko sofort GrowDiaries, das die undichten Daten fünf Tage später sicherte.
Ohne weitere Kommentare zu dem Vorfall von GrowDiaries hat Diachenko keine eindeutigen Beweise dafür, dass andere Dritte illegal auf die Daten zugegriffen haben, hält dies jedoch für wahrscheinlich. Falls tatsächlich auf die Daten zugegriffen und Teile davon gestohlen wurden, könnte dies für GrowDiaries-Benutzer eine Menge Ärger bedeuten, je nachdem, wer sie erhalten hat und was sie damit tun möchten.
Neben der sehr offensichtlich Passwort Füllung Veranstaltungsort dass schlechte Schauspieler könnten nehmen mit den entschlüsselten Passwörtern, gibt es die viel schlimmste Möglichkeit der Erpressung. Bei so vielen GrowDiaries-Nutzern in Ländern, in denen der Anbau von Marihuana illegal ist, könnten sie sehr ernsthaften Erpressungsdrohungen ausgesetzt sein, die echte rechtliche Konsequenzen haben könnten, wenn schlechte Akteure mögliche Bedrohungen verfolgen.
Leider ist dies ein weiterer Fall, in dem die Tatsache, dass der Dienst es in einem schlecht verschlüsselten Format speichert, alle Ihre Bemühungen um Sicherheit aufhebt, unabhängig davon, wie sicher und komplex Ihr Passwort ist.
