Itt áll, mi történik, ha egy Sprint vállalkozó AT&T, T-Mobile és Verizon számlákat tesz ki

A Deardorff Communications, a grúziai székhellyel rendelkező marketing- és kommunikációs társaság a weboldalán (amelyet független megjegyzésben a HTTP-n keresztül tölt be, és nem a HTTPS-en) állítja, hogy csapata számos területen nagy tapasztalattal rendelkezik, beleértve a stratégiai tervezést, értékesítés, reklám stb. Az Amazon Web Service tárolóvödrök konfigurálásakor sajnos hiányzik egy kissé hozzáértésük.

Egy Deardorff alkalmazott egy alig több mint negyedmillió dokumentumot tett egy Amazon S3 vödörbe, nem állította be a jelszót, és elfelejtette megváltoztatni a hozzáférhetőségi beállításokat "nyilvános" -ról "privát" -ra. Ennek eredményeként a vödör és a benne lévő fájlok a világ bármely pontjáról megnézhetők. Nem meglepő, hogy egy ponton, a kutatók egy penetrációs tesztelés nevű cég Fidus Information Security, ugyanazok az emberek, akik kiderült egy biztonsági hiba a Vatikán új eRosary valamint egy adat szivárgás a Magic: The Gathering kiadója, végül nézi Deardorff vödör.

Telefonszámlák és rengeteg érzékeny információ maradt szabadban

A vödörben valamivel több mint 260 ezer dokumentum volt, ezek többsége mobiltelefon-számlák, amelyek az AT&T, a T-Mobile és a Verizon előfizetőkhöz tartoztak. Deardorff összegyűjtötte ezeket a fájlokat, mert a Sprint, egyik legnagyobb ügyfelük, arra akarta rávenni az előfizetőket, hogy cseréljék mobiltelefon-szolgáltatójukat. Az egyik dokumentum szerint a Sprint még felkészült volt a lejárat előtti lemondási díjak megfizetésére is, csak annak biztosítása érdekében, hogy minél többen használják annak szolgáltatásait.

A telefonszámlák magukban rengeteg személyes információt és elérhetőséget tárnak fel, és gyakran tartalmaznak hívásnaplókat is, amelyeket egyesek valószínűleg inkább nem osztanak meg a világ többi részével. Mindezek mellett a kutatók bankszámlakivonatot és képernyőképeket is találtak, amelyek ismeretlen számú előfizető online felhasználóneveit, jelszavait és PIN-kódjait tárják fel.

Eleinte nem volt egyértelmű, ki hozta nyilvánosságra az adatokat. Nem sokkal a vödör megtalálása után a szakértők értesítették az Amazonot, amely kapcsolatba lépett az adatok tulajdonosával, és offline állapotba helyezte. Jogi okokból azonban az Amazon nem volt hajlandó elmondani Fidusnak, aki felelős a szivárgásért.

Az adatokat megosztották a TechCrunch Zack Whittaker- rel, aki néhány fájlt metaadat-ellenőrzőn futtatott, és megtudta, hogy valószínűleg Deardorff tulajdonában van. Jeff Deardorff, a marketing társaság elnöke elismerte, hogy az egyik alkalmazott felelős a szivárgásért, és megígérte, hogy mindent megtesz annak érdekében, hogy kitalálja, mi ment rosszra, és mit lehet tenni a hasonló események jövőbeni megelőzése érdekében.

Az ilyen adatok szivárgása túlságosan általános

Talán néhányan azt mondhatják, hogy ez messze van a legszörnyűbb adatbiztonsági eseménytől, és sok más dokumentum sokkal veszélyesebb lehet. A legújabb rendszeres telefonszámlájának rövid áttekintése azonban kideríti, hogy az ártalmatlan papírdarabnak valójában olyan információkat tartalmaz, amelyek könnyen vezethetnek személyazonosság-lopáshoz. Ebben az esetben a Deardorff felfedte az előfizetők jelszavait és PIN-kódjait, ami növeli a támadások kockázatát, például a SIM-csere és a hitelesítő adatok kitöltése.

Az igazi probléma az, hogy hasonló szivárgások történnek naponta. Gyakran előfordul, hogy ezeket könnyen elkerülhető és meglehetősen egyszerű konfigurációs hibák okozzák, de az oktatás hiánya azt jelenti, hogy az informatikai emberek nem tudják, mit kell tenni, amikor a felhasználók adatainak biztonságos tárolása a feladata.

Deardorff nem mondta, amikor a vödröt először megnyitották a nyilvánosság számára, és senki sem tudja meggyőződni arról, hogy a számítógépes bűnözőknek sikerült-e eljutniuk hozzá, mielőtt offline állapotba hozták. Zack Whittaker további észrevételeket kért az AT&T-től, a Verizon-tól és a T-Mobile-tól, de nem kapott semmi lényegest, valószínűleg azért, mert a három telekommunikációs szolgáltatónak egyszerűen nincs mit hozzáadni. Előrejelzés: nem tudjuk, hogy hány embert érinthet a szivárgás, ami azt jelenti, hogy ha AT&T, Verizon vagy T-Mobile előfizető vagy, ha váltottál róluk Sprintre, akkor érdemes lehet vigyázzon a csalás vagy személyazonosság-lopás jeleire.