Rallyhood atskleidė privataus vartotojo duomenų dešimtmečio vertę

Kai Zackas Whittakeris iš „TechCrunch“ susisiekė su „Rallyhood“ ir papasakojo apie netinkamai sukonfigūruotą S3 kibirą, kuris atskleidė gana daug vartotojo duomenų, jam iš pradžių buvo pasakyta, kad nesandari duomenų bazė naudojama tik bandymo tikslams ir kad faktinė žmonių informacija yra laikoma „ labai pritvirtintas kaušas. Vėliau Chrisas Aldersonas, „Rallyhood“ vyriausiasis technologijų pareigūnas, pateikė kitokią įvykių versiją. Jis pripažino, kad vykstant migracijos projektui, „leidimai buvo klaidingai palikti atviri“ ant vienos iš bendrovės laikymo kibirų „trumpam laikotarpiui“. Rašymo metu tai yra vienintelė informacija, kurią „Rallyhood“ pasidalino su likusiu pasauliu apie įvykį, ir reikia pasakyti, kad tai vargu ar yra idealu, atsižvelgiant į nutekėjusių duomenų kiekį ir pobūdį.

Kitą dieną kitas nesandarus S3 kibiras atskleidžia milijonų vartotojų failus

Nutekėjimą atrado saugumo tyrinėtojas, norintis, kad jį žinotų jo „Twitter“ rankena „Timeless“. Timeless nusprendė pasitelkti „TechCrunch“ įtaką siekdamas užtikrinti kuo greitesnį duomenų apsaugą, o tai, atsižvelgiant į „Rallyhood“ verslą ir didžiulę vartotojų bazę, iš tiesų buvo pati skubiausia užduotis.

Tinklalapio populiarumui buvo suteiktas didžiulis postūmis, kai „Yahoo“ paskelbė, kad ketina sukti „Yahoo“ grupes, o žmonių būriai diskusijas perkėlė į „Rallyhood“. Vis dėlto turėtume pabrėžti, kad „Rallyhood“ yra daug daugiau nei tik pranešimų lenta. Tai taip pat bendradarbiavimo platforma, kuria naudojasi visų formų ir dydžių organizacijos, siekdamos organizuoti ir sekti užduotis ir įvykius. Tai reiškia, kad „Rallyhood“ turi apdoroti ir saugoti daug duomenų.

Bendrovė nepasakys, kiek aktyvių vartotojų turi platforma, ir tiksliai įvertinti žmonių, kuriuos paveikė nuotėkis, skaičių šiuo metu nėra įmanoma. Mes žinome, kad „S3“ kaušas turėjo didžiulę 4,1 TB duomenų ir kad dėl visuotinės konfigūracijos klaidos jis buvo viešai prieinamas be slaptažodžio. Pasak Zacko Whittakerio, URL taip pat buvo „lengvai atspėjamas“, todėl galimybė kažkam pasidaryti galimybę gauti informacijos tapo dar tikresnė.

Kai kurie atskleisti duomenys yra ypač jautrūs

Whittakeris peržiūrėjo kai kuriuos failus ir rado kontaktinę informaciją, leidusią jam susisiekti su paveiktais vartotojais ir patikrinti nuotėkio autentiškumą. Deja, greta telefonų ir el. Pašto adresų kibirėlyje buvo ir daug daugiau informacijos.

„TechCrunch“ reporteris rado bet ką - nuo sutarčių ir leidimų šliuzų iki neatskleidimo susitarimų ir bendrų slaptažodžių sąrašų, kurie tikrai neturėjo būti viešai prieinami. Kaip jau minėjome, „Rallyhood“ CTO bandė šiek tiek apriboti žalą, sakydamas „TechCrunch“, kad ekspozicija truko neilgai, tačiau jis mieliau nesakė, koks „trumpas“ „trumpas laikotarpis“. Mes tikrai žinome, kad kai kuriems neskelbto duomenų bazės failams buvo 2011 m. Laiko žyma. Deja, nepaisant to, kad netinkamai sukonfigūruotoje duomenų bazėje buvo beveik dešimtmečio vertės asmeniniai failai, „Rallyhood“ atsisakė pasakyti „TechCrunch“, ar įmonė ketina informuoti apie tai potencialiai paveiktus asmenis.

Apskritai, „Rallyhood“ iki šiol akivaizdžiai trūko skaidrumo tvarkant tai, kas, be abejo, yra gana rimtas duomenų nutekėjimas. Bendrovė aiškiai padarė klaidą, kuri vargu ar yra geras dalykas, tačiau tikrai blogas įspūdis susidaro dėl to, kad ji elgiasi taip, tarsi nenori prisiimti atsakomybės.