Una violazione dei dati nella piattaforma di e-learning spagnola 8Belts colpisce oltre 150.000 utenti in tutto il mondo

8Belts Data Breach

8Belts è una piattaforma di apprendimento online spagnola specializzata in corsi di lingua straniera. È stata fondata nel 2011 ed è stata parzialmente finanziata dal Fondo europeo di sviluppo regionale dell'UE e dal governo spagnolo. Secondo i ricercatori di sicurezza Noam Rotem e Ran Locar, tuttavia, 8Belts viene utilizzato da persone di tutto il mondo, tra cui Angola, Australia, Barbados, Belgio, Stati Uniti e Uzbekistan. Potresti chiederti come un paio di esperti di sicurezza sappiano che molti dettagli sulla base di utenti di una piattaforma di e-learning. Sfortunatamente, hanno trovato le informazioni in un database non protetto.

Un altro giorno, un altro database esposto

Come alcuni di voi sapranno, Rotem e Locar guidano un team di ricercatori che lavorano per VPNMentor. Negli ultimi mesi hanno lavorato a un progetto di mappatura Web di grandi dimensioni con l'obiettivo di migliorare la sicurezza generale dei dati. Nel processo, tuttavia, hanno dimostrato quanto sia facile esporre gigabyte di informazioni private.

I fornitori di servizi commettono numerosi errori e uno dei più comuni è lasciare un database pieno di dati personali degli utenti in un bucket Amazon Web Service S3 accessibile al pubblico. Spesso dimenticano di proteggere il bucket con una password e, nel processo, lo espongono inavvertitamente a chiunque disponga di una connessione Internet. Molte aziende lo hanno fatto e, a metà aprile, i ricercatori di VPNMentor hanno scoperto che 8Belts si era unito al club.

8Belts inserisce un database di produzione in un bucket di archiviazione S3 pubblico

Dopo aver trovato il database, gli esperti hanno visto che alcuni dei record in esso risalivano al 2017, ma mentre cercavano di capire chi fosse il proprietario, hanno visto che le informazioni venivano aggiunte in tempo reale. In altre parole, era un database di produzione attivo che stava raccogliendo i dettagli di nuovi utenti di 8Belts. C'erano anche molti dettagli.

In uno dei file CVS, gli esperti hanno visto i record di non meno di 150 mila utenti di 8Belts. Ogni record conteneva i seguenti dettagli:

  • nomi
  • Indirizzo email
  • Numero di telefono
  • Paese di residenza
  • Data di nascita

Sfortunatamente, altri file nel bucket contenevano dati ancora più sensibili, inclusi i numeri di identificazione nazionale di studenti e tutor.

La violazione avrebbe potuto avere conseguenze orribili sia per 8Belts che per i suoi clienti

Si può già vedere che la piattaforma di e-learning spagnola perde molte informazioni identificabili personalmente e ciò che i ricercatori hanno descritto come "una caduta significativa nei protocolli di sicurezza di 8Belts" potrebbe aver provocato numerosi casi di furto di identità. Purtroppo, non è stato tutto.

Sul suo sito Web, 8Belts si vanta di offrire corsi di lingua straniera ai dipendenti di numerose grandi aziende di fama mondiale. Tra i suoi partner, troverai aziende come Huawei, Deloitte, PricewaterhouseCoopers, Santander, ecc. Certo, i dettagli personali dei dipendenti di queste società erano anche nel database di 8Belts. Ciò non solo ha rivelato gli stessi dipendenti, ma avrebbe anche potuto mettere a rischio i clienti della piattaforma di apprendimento.

Inoltre, il team di VPNMentor ha scoperto i log dei server che hanno rivelato il funzionamento di alcuni sistemi back-end di 8Belts. Queste informazioni avrebbero potuto aiutare i criminali informatici a violare la stessa piattaforma di apprendimento online, causando un danno incalcolabile.

Il secchio che fuoriesce fu silenziosamente rimosso offline

Pochi giorni dopo aver scoperto le informazioni esposte, i ricercatori hanno cercato di mettersi in contatto con 8Belts per rivelare la violazione e offrire ulteriore assistenza. In attesa di una risposta, hanno anche contattato Amazon e informato il fornitore di archiviazione delle informazioni esposte. Alla fine, non hanno ricevuto risposta, ma quando hanno controllato alcune settimane dopo, hanno scoperto che il database era stato rimosso offline. Sebbene VPNMentor abbia pubblicato il suo rapporto un paio di giorni fa, 8Belts deve ancora offrire qualcosa che assomigli a una dichiarazione ufficiale.

In effetti, come nel caso di molte perdite simili, non abbiamo visto alcuna prova di un uso improprio dei dati esposti, ma questo non dovrebbe mai essere un motivo per ignorare il problema o fingere che non si sia verificato. Al contrario, la scoperta dovrebbe servire da incentivo per 8Belts a mostrare ai propri clienti che è determinato a non lasciare che ciò accada di nuovo.

June 4, 2020
Caricamento in corso...

Cyclonis Backup Details & Terms

The Free Basic Cyclonis Backup plan gives you 2 GB of cloud storage space with full functionality! No credit card required. Need more storage space? Purchase a larger Cyclonis Backup plan today! To learn more about our policies and pricing, see Terms of Service, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.

Cyclonis Password Manager Details & Terms

FREE Trial: 30-Day One-Time Offer! No credit card required for Free Trial. Full functionality for the length of the Free Trial. (Full functionality after Free Trial requires subscription purchase.) To learn more about our policies and pricing, see EULA, Privacy Policy, Discount Terms and Purchase Page. If you wish to uninstall the app, please visit the Uninstallation Instructions page.