Dit gebeurt er wanneer een sprintaannemer AT&T-, T-Mobile- en Verizon-facturen blootstelt

Deardorff Communications, een marketing- en communicatiebedrijf gevestigd in Georgië, zegt op zijn website (die op een onafhankelijke manier wordt geladen via HTTP en niet via HTTPS) dat zijn team zeer ervaren is op verschillende gebieden, waaronder strategische planning, verkoop, reclame, etc. Helaas ontbreekt hun expertise wat betreft het configureren van Amazon Web Service-opslagemmers.

Een Deardorff-medewerker stopte iets meer dan een kwart miljoen documenten in een Amazon S3-bucket, verzuimde een wachtwoord in te stellen en vergat de instellingen voor toegankelijkheid te wijzigen van "openbaar" in "privé". Als gevolg hiervan kon de bucket, samen met alle bestanden erin, overal ter wereld worden bekeken. Het is niet verrassend dat op een bepaald moment onderzoekers van een penetratietestbedrijf genaamd Fidus Information Security, dezelfde mensen die een beveiligingsfout in het nieuwe eRosary van het Vaticaan onthulden, evenals een datalek door Magic: The Gathering's uitgever, uiteindelijk naar de emmer van Deardorff keken.

Telefoonrekeningen en veel gevoelige informatie die openbaar is achtergelaten

Er lagen iets meer dan 260 duizend documenten in de emmer, en de meeste daarvan waren gsm-rekeningen van de abonnees van AT&T, T-Mobile en Verizon. Deardorff verzamelde al deze bestanden omdat Sprint, een van hun grootste klanten, abonnees wilde overhalen om van mobiele provider te veranderen. Volgens een van de documenten was Sprint zelfs bereid om de kosten voor vervroegde beëindiging te betalen, alleen om ervoor te zorgen dat meer mensen zijn diensten gebruiken.

De telefoonrekeningen zelf onthullen nogal wat persoonlijke informatie en contactgegevens, en ze bevatten ook vaak oproeplogboeken, die sommige mensen waarschijnlijk liever niet delen met de rest van de wereld. Naast dit alles vonden de onderzoekers ook een bankafschrift en een screenshot met de online gebruikersnamen, wachtwoorden en pincodes van een onbekend aantal abonnees.

In het begin was het niet duidelijk wie de gegevens had blootgelegd. Kort na het vinden van de bucket hebben de experts Amazon op de hoogte gebracht, die contact heeft opgenomen met de eigenaar van de gegevens en deze offline heeft gebracht. Om juridische redenen weigerde Amazon echter om Fidus te vertellen wie verantwoordelijk was voor het lek.

De gegevens werden echter gedeeld met Zack Whittaker van TechCrunch, die sommige van de bestanden door een metadata-checker liet lopen en hoorde dat het waarschijnlijk eigendom was van Deardorff. Jeff Deardorff, de president van het marketingbedrijf, gaf toe dat een van zijn medewerkers verantwoordelijk was voor het lek en beloofde dat hij zou doen wat hij kon om erachter te komen wat er mis ging en wat er gedaan kan worden om soortgelijke incidenten in de toekomst te voorkomen.

Datalekken zoals deze komen veel te vaak voor

Sommigen van u zullen misschien zeggen dat dit verre van het meest gruwelijke incident met gegevensbeveiliging is en dat veel andere documenten veel gevaarlijker kunnen zijn. Een snelle blik op uw laatste normale telefoonrekening onthult echter dat wat op een onschuldig stuk papier lijkt eigenlijk informatie bevat die gemakkelijk kan leiden tot identiteitsdiefstal. In dit specifieke geval onthulde Deardorff ook de wachtwoorden en pincodes van de abonnees, wat het risico op aanvallen zoals SIM-swapping en inloggegevens verhoogt.

Het echte probleem is dat soortgelijke lekken dagelijks optreden. Vaker wel dan niet, worden ze veroorzaakt door gemakkelijk te vermijden en vrij eenvoudige configuratiefouten, maar gebrek aan opleiding betekent dat IT-mensen niet weten wat te doen wanneer ze worden belast met het veilig opslaan van gebruikersgegevens.

Deardorff heeft niet gezegd wanneer de emmer voor het eerst werd geopend voor het publiek, en niemand kan bevestigen of cybercriminelen erin geslaagd zijn om het te bereiken voordat het offline werd gehaald. Zack Whittaker vroeg AT&T, Verizon en T-Mobile om verder commentaar, maar hij ontving niets substantieels, hoogstwaarschijnlijk omdat de drie telecommunicatieproviders eenvoudig niets toe te voegen hebben. Het resultaat is dat we niet weten hoeveel mensen mogelijk door het lek zijn getroffen, wat betekent dat als u een AT & T-, Verizon- of T-Mobile-abonnee bent of als u bent overgeschakeld naar Sprint, u misschien pas op voor tekenen van fraude of identiteitsdiefstal.