Στις αρχές Οκτωβρίου 2025, ο ερευνητής κυβερνοασφάλειας Jeremiah Fowler ανακάλυψε μια δημόσια προσβάσιμη βάση δεδομένων που ανήκει στην Invoicely, μια πλατφόρμα τιμολόγησης και χρέωσης με έδρα τη Βιέννη, η οποία χρησιμοποιείται από πάνω από 250.000 επιχειρήσεις παγκοσμίως.
Το αποθετήριο περιείχε 178.519 αρχεία σε μορφές XLSX, CSV, PDF και εικόνας, καθένα από τα οποία περιείχε ευαίσθητες προσωπικές και οικονομικές πληροφορίες. Ανάμεσα στα εκτεθειμένα έγγραφα ήταν τιμολόγια, σκαναρισμένες επιταγές, φορολογικές δηλώσεις και αποδείξεις από υπηρεσίες κοινής χρήσης οχημάτων. Όλα αυτά αποκάλυψαν ονόματα, διευθύνσεις, αριθμούς τηλεφώνου, αριθμούς φορολογικού μητρώου, routing και στοιχεία λογαριασμού για παρόχους υγειονομικής περίθαλψης, εργολάβους και εταιρικούς συνεργάτες.
Δείτε επίσης: T-Mobile: Υποκλοπή δεδομένων κλήσεων και μηνυμάτων πελατών
Ο όγκος και η ποικιλία των αρχείων ενίσχυσαν τις πιθανές συνέπειες: από κλοπή ταυτότητας και spear-phishing έως απάτη τιμολόγησης και μη εξουσιοδοτημένες χρηματοοικονομικές συναλλαγές. Η αρχική έρευνα έδειξε ότι η βάση δεδομένων δεν είχε καμία μορφή κρυπτογράφησης ή προστασίας με κωδικό πρόσβασης, αφήνοντάς την ανοιχτή σε οποιονδήποτε με βασικές γνώσεις της δομής URL της.
Ο Fowler ενημέρωσε την Invoicely και η εταιρεία περιόρισε τη δημόσια πρόσβαση μέσα σε λίγες ώρες. Ωστόσο, η διάρκεια της έκθεσης παραμένει άγνωστη, προκαλώντας ανησυχίες σχετικά με το πόσοι κακόβουλοι χρήστες θα μπορούσαν να έχουν αντιγράψει ή παρακολουθήσει τα δεδομένα πριν από την αποκατάσταση.
Invoicely: Έκθεση δεδομένων – Κίνδυνοι
Ανάμεσα στους κινδύνους περιλαμβάνονται η υποβολή ψεύτικων τιμολογίων χρησιμοποιώντας γνήσια πρότυπα τιμολογίων, πλαστές φορολογικές δηλώσεις με χρήση κλεμμένων αναγνωριστικών και εξαιρετικά στοχευμένες καμπάνιες phishing βασισμένες σε πραγματικές λεπτομέρειες συναλλαγών. Οι αναλυτές του Website Planet σημείωσαν ότι το όνομα της βάσης δεδομένων—‘invoicely_backup_public’—υποδηλώνει ότι ίσως είχε προοριστεί για εσωτερικό αντίγραφο ασφαλείας ή third-party migration, αλλά είχε διαμορφωθεί λανθασμένα για δημόσια πρόσβαση.
Δείτε επίσης: Οι Scattered Lapsus$ Hunters ισχυρίζονται ότι έκλεψαν περισσότερα από 1 δισεκ. αρχεία Salesforce
Αυτό το λάθος υπογραμμίζει τις επαναλαμβανόμενες ελλείψεις στη διακυβέρνηση αποθήκευσης στο cloud μεταξύ των παρόχων SaaS. Η γρήγορη ανάπτυξη και κλιμάκωση συχνά υπερβαίνουν τους ελέγχους ασφαλείας. Ο Fowler δεν βρήκε αποδείξεις ενεργής εκμετάλλευσης, ωστόσο η πιθανότητα για μη ανιχνεύσιμη συλλογή δεδομένων παραμένει σημαντική.
Η λανθασμένη διαμόρφωση προήλθε από ένα μη ασφαλές Amazon S3 bucket, το οποίο είχε οριστεί κατά λάθος σε “public-read” αντί για περιορισμένη πρόσβαση. Οι επιτιθέμενοι θα μπορούσαν να απαριθμήσουν buckets χρησιμοποιώντας εργαλεία όπως το AWSBucketFinder ή απλά αιτήματα HTTP.
Δείτε επίσης: SimonMed: Παραβίαση δεδομένων επηρεάζει 1,2 εκατ. άτομα
Για να μετριαστούν τέτοιοι κίνδυνοι, οι πάροχοι SaaS πρέπει να επιβάλλουν αυστηρές πολιτικές πρόσβασης, να αυτοματοποιούν τους ελέγχους αποθήκευσης και να υιοθετούν αρχές ελάχιστης προνομιακής πρόσβασης κατά την παροχή πόρων στο cloud.
🔒 Προστατέψτε την ιδιωτικότητά σας με Proton VPN
Ελβετικό VPN από τους δημιουργούς του Proton Mail — αυστηρή πολιτική no-logs, ισχυρή κρυπτογράφηση και ενσωματωμένο NetShield που μπλοκάρει διαφημίσεις, trackers & malware.
- ✔ No-logs, με έδρα την Ελβετία (εκτός 14-Eyes)
- ✔ NetShield: φραγή διαφημίσεων, trackers & κακόβουλων domains
- ✔ Καλύπτει όλες τις συσκευές — δωρεάν έκδοση διαθέσιμη
Ο σύνδεσμος είναι συνεργατικός (affiliate) — το SecNews ενδέχεται να λάβει προμήθεια χωρίς επιπλέον κόστος για εσάς. Δεν επηρεάζει την ανεξαρτησία της αρθρογραφίας μας.
