Μια ισραηλινή εταιρεία marketing εξέθεσε 49 εκατομμύρια μοναδικά email μετά από άσκοπες εντολές ελέγχου ταυτότητας για μια βάση δεδομένων Elasticsearch, που βρισκόντουσαν σε έναν απροστάτευτο web server.
Σε μια αόριστα διατυπωμένη ενημέρωση αυτή την εβδομάδα, η Straffic, μια ιδιωτική εταιρεία digital marketing, ενημέρωσε ότι το περιστατικό ήταν το αποτέλεσμα μιας “ευπάθειας ασφαλείας” που επηρέαζε έναν από τους server της.
Δεν είναι όμως ολόκληρη η ιστορία και αυτό το συμβάν δείχνει ότι οι τεράστιες βάσεις δεδομένων εξακολουθούν να διατρέχουν κίνδυνο ακόμη και όταν η πρόσβαση σε αυτές απαιτεί έλεγχο ταυτότητας.
Απροσδόκητη ευπάθεια
Η Straffic περιγράφεται ως “ιδιωτικό δίκτυο για σύνδεση ελίτ θυγατρικών με CPA [κόστος ανά action] & CPL [κόστος ανά lead] από αξιόπιστους διαφημιζόμενους”.
Σε σύντομο μήνυμα την Τετάρτη, η εταιρεία ανακοίνωσε ότι “βρέθηκε μια ευπάθεια ασφαλείας σε έναν από τους servers που χρησιμοποιούμε για την παροχή των υπηρεσιών μας”.
Το περιστατικό αφορούσε μια βάση δεδομένων Elasticsearch με 140GB στοιχεία επικοινωνίας που αποτελούσαν ονόματα, αριθμούς τηλεφώνου και ταχυδρομικές διευθύνσεις. Ενώ ήταν προστατευμένη με κωδικό πρόσβασης, φαίνεται ότι τα credentials δεν ήταν σωστά αποθηκευμένα.
Ένας ερευνητής ασφάλειας που ονομαζόταν 0m3n στο Twitter τα βρήκε σε απλό text στον web server. Ο 0m3n -engineer της DevOps με έμφαση στην ασφάλεια- αποφάσισε να ελέγξει τον web server μετά τη λήψη ενός link σε ένα μήνυμα spam.
Ο Troy Hunt είπε ότι το 70% των email στη βάση δεδομένων της Straffic υπήρχαν ήδη στο I Have Be Pwned, το site ειδοποίησης παραβίασης δεδομένων που δημιούργησε. Αυτό σημαίνει ότι πολλά από αυτά τα email “δεν προήλθαν από προηγούμενες παραβιάσεις“, λέει σε απάντηση στο Under the Breach στο Twitter.
Η Straffic λέει ότι όλα τα συστήματά της είναι ασφαλή αυτή τη στιγμή και ότι δεν βρήκαν στοιχεία για την αντιγραφή ή την κακή χρήση των data.
Πράγματι, συμβάντα ασφαλείας μπορεί να συμβούν ακόμα και όταν έχουν παρθεί οι καλύτερες προφυλάξεις και είναι πιθανότερο να συμβούν όταν τα credentials της βάσης δεδομένων κυκλοφορούν στο διαδίκτυο, ειδικά όταν είναι σε απλό text.
Ο Hunt, ο οποίος είναι πολύ εξοικειωμένος με τις ανακοινώσεις γνωστοποίησης παραβιάσεων δεδομένων, επισημαίνει ότι η ανακοίνωση της Straffic δεν διαθέτει τις βασικές πληροφορίες που θα πρέπει να είναι διαθέσιμες σε μια τέτοια ανακοίνωση. Δεν παρουσιάζονται λεπτομέρειες σχετικά με την ημερομηνία του συμβάντος (ή τουλάχιστον μια εκτίμηση), τι το προκάλεσε, τον τρόπο με τον οποίο έγινε και την ενημέρωση των εμπλεκομένων μερών.
