Ecco cosa succede quando un contraente Sprint espone fatture AT&T, T-Mobile e Verizon

Sul suo sito Web (che, su una nota non correlata, viene caricato tramite HTTP e non HTTPS), Deardorff Communications, una società di marketing e comunicazione con sede in Georgia, afferma che il suo team ha una grande esperienza in una varietà di settori, tra cui la pianificazione strategica, vendite, pubblicità, ecc. Sfortunatamente, quando si tratta di configurare i bucket di archiviazione di Amazon Web Service, la loro esperienza manca un po '.

Un dipendente Deardorff ha inserito poco più di un quarto di milione di documenti in un bucket Amazon S3, non è riuscito a impostare una password e ha dimenticato di modificare le impostazioni di accessibilità da "pubblico" a "privato". Di conseguenza, il bucket, insieme a tutti i file in esso contenuti, potrebbe essere visualizzato da qualsiasi parte del mondo. Non sorprende, ad un certo punto, i ricercatori di una società di test di penetrazione chiamata Fidus Information Security, le stesse persone che hanno rivelato un difetto di sicurezza nel nuovo eRosary del Vaticano e una perdita di dati da Magic: The Gathering's editore, hanno finito per guardare il secchio di Deardorff.

Fatture telefoniche e molte informazioni sensibili lasciate all'aperto

C'erano poco più di 260 mila documenti nel secchio, e la maggior parte di essi erano bollette di telefoni cellulari che appartenevano agli abbonati AT&T, T-Mobile e Verizon. Deardorff ha raccolto tutti questi file perché Sprint, uno dei suoi maggiori clienti, voleva convincere gli abbonati a cambiare il loro fornitore di servizi di telefonia cellulare. Secondo uno dei documenti, Sprint era persino disposto a pagare le tasse di risoluzione anticipata, solo per garantire che più persone stessero usando i suoi servizi.

Le bollette del telefono rivelano un sacco di informazioni personali e dettagli di contatto e spesso contengono anche registri delle chiamate, che alcune persone probabilmente preferiscono non condividere con il resto del mondo. Oltre a tutto ciò, i ricercatori hanno anche trovato un estratto conto e uno screenshot che hanno rivelato i nomi utente, le password e i PIN online di un numero sconosciuto di abbonati.

Inizialmente, non era chiaro chi avesse esposto i dati. Poco dopo aver trovato il bucket, gli esperti hanno notificato Amazon, che è entrato in contatto con il proprietario dei dati e lo ha portato offline. Per motivi legali, tuttavia, Amazon ha rifiutato di dire a Fidus chi era responsabile della perdita.

I dati sono stati condivisi con Zack Whittaker di TechCrunch, che ha eseguito alcuni file tramite un controllo metadati e ha appreso che probabilmente apparteneva a Deardorff. Jeff Deardorff, presidente della società di marketing, ha ammesso che uno dei suoi dipendenti era responsabile della perdita e ha promesso che avrebbe fatto tutto il possibile per capire cosa era andato storto e cosa si poteva fare per prevenire simili incidenti in futuro.

Perdite di dati come queste sono fin troppo comuni

Alcuni di voi potrebbero dire che questo è tutt'altro che il più orribile incidente sulla sicurezza dei dati e che molti altri documenti possono essere molto più pericolosi. Una rapida occhiata all'ultima normale bolletta del telefono rivela, tuttavia, che quello che sembra un pezzo di carta innocuo in realtà contiene informazioni che possono facilmente portare al furto di identità. In questo caso particolare, Deardorff ha anche rivelato le password e i numeri PIN degli abbonati, il che aumenta il rischio di attacchi come lo scambio di SIM e il riempimento delle credenziali.

Il vero problema è che perdite simili si verificano quotidianamente. Più spesso, sono causati da errori di configurazione facilmente evitabili e abbastanza semplici, ma la mancanza di istruzione significa che le persone IT non sanno cosa fare quando hanno il compito di archiviare in modo sicuro i dati degli utenti.

Deardorff non ha detto quando il secchio è stato aperto al pubblico per la prima volta e nessuno può confermare se i criminali informatici sono riusciti a raggiungerlo prima che fosse messo offline. Zack Whittaker ha chiesto ulteriori commenti a AT&T, Verizon e T-Mobile, ma non ha ricevuto nulla di sostanziale, molto probabilmente perché i tre fornitori di telecomunicazioni semplicemente non hanno nulla da aggiungere. Il risultato è che non sappiamo quante persone sono state potenzialmente colpite dalla perdita, il che significa che se sei un abbonato AT&T, Verizon o T-Mobile o se sei passato da Sprint a te, potresti voler fare attenzione a eventuali segni di frode o furto di identità.