Διαρροή Δεδομένων EY – Εκτεθειμένο SQL Server backup file

Ένα τεράστιο SQL Server backup file (4TB), που ανήκει στον παγκόσμιο γίγαντα λογιστικής Ernst & Young (EY), ήταν δημόσια προσβάσιμο στο Microsoft Azure.

Η έκθεση αυτή, που αποκαλύφθηκε από την εταιρεία κυβερνοασφάλειας Neo Security κατά τη διάρκεια μιας τακτικής άσκησης asset mapping, υπογραμμίζει πώς ακόμη και οργανισμοί με καλούς πόρους μπορούν ακούσια να αφήσουν ευαίσθητα δεδομένα ευάλωτα στους αυτοματοποιημένους σαρωτές του διαδικτύου.

Ο επικεφαλής ερευνητής της Neo Security ανακάλυψε το αρχείο ενώ εξέταζε passive network traffic με εργαλεία χαμηλού επιπέδου. Ένα απλό HEAD request, που προοριζόταν να αντλήσει μεταδεδομένα χωρίς να κατεβάσει περιεχόμενο, αποκάλυψε το εντυπωσιακό μέγεθος του εκτεθειμένου αρχείου: 4 terabytes δεδομένων, ισοδύναμο με εκατομμύρια έγγραφα ή μια ολόκληρη βιβλιοθήκη πληροφοριών.

Απ’ ότι φαίνεται, επρόκειτο για ένα SQL Server backup (.BAK format), το οποίο συνήθως περιέχει πλήρη database dumps, συμπεριλαμβανομένων schemas, δεδομένων χρηστών και, κυρίως, ενσωματωμένων μυστικών όπως κλειδιά API, διαπιστευτήρια και authentication tokens.

Δείτε επίσης: LG Uplus: Περιστατικό κυβερνοασφάλειας για τον τηλεπικοινωνιακό πάροχο

Ανακάλυψη αρχείου και σύνδεση με την Ernst & Young (EY)

Οι αρχικές αναζητήσεις στο Azure Blob Storage δεν απέδωσαν άμεσα στοιχεία ιδιοκτησίας, αλλά βαθύτερες έρευνες αποκάλυψαν έγγραφα συγχώνευσης σε μια ευρωπαϊκή γλώσσα, που μεταφράστηκαν με εργαλεία όπως το DeepL, υποδεικνύοντας μια εξαγορά του 2020. Μια κρίσιμη αναζήτηση DNS SOA record συνέδεσε το domain με το ey.com, επιβεβαιώνοντας την εμπλοκή της EY. Για να αποφευχθούν νομικές παγίδες, η ομάδα κατέβασε μόνο τα πρώτα 1.000 bytes του αρχείου, αποκαλύπτοντας μια αδιαμφισβήτητη υπογραφή “magic bytes” για ένα μη κρυπτογραφημένο αντίγραφο ασφαλείας SQL Server.

Αυτό δεν ήταν θεωρητικός κίνδυνος. Η Neo Security βασίστηκε σε πραγματικά περιστατικά, θυμίζοντας μια παραβίαση fintech που προέκυψε από την σύντομη έκθεση ενός παρόμοιου αρχείου .BAK για μόλις πέντε λεπτά. Σε εκείνη την περίπτωση, οι επιτιθέμενοι εκμεταλλεύτηκαν το σύντομο παράθυρο για να εξάγουν προσωπικές πληροφορίες και διαπιστευτήρια και ανέπτυξαν ransomware, επηρεάζοντας τη λειτουργία της εταιρείας.

Δείτε επίσης: Χάκερ ισχυρίζονται ότι παραβίασαν τα αρχεία πελατών της HSBC USA

Με τα σημερινά botnets να σαρώνουν ολόκληρο το χώρο διευθύνσεων IPv4 σε λεπτά, τέτοιες εκθέσεις οδηγούν αναπόφευκτα σε παραβιάσεις. Η Neo Security σταμάτησε περαιτέρω έρευνα και προσπάθησε να ενημερώσει υπεύθυνα την εταιρεία το Σαββατοκύριακο. Τελικά, κατάφερε να συνδεθεί με την CSIRT της EY, μέσω LinkedIn, μετά από 15 προσπάθειες.

Η EY απάντησε γρήγορα και επαγγελματικά, αξιολογώντας και επιλύοντας το ζήτημα μέσα σε μια εβδομάδα. Αυτό είναι σημαντικό σε μια βιομηχανία που συχνά στιγματίζεται από άρνηση ή καθυστερήσεις.

Ωστόσο, το περιστατικό υπογραμμίζει συστημικές ευπάθειες στο cloud. Η ευκολία του Azure στην εξαγωγή βάσεων δεδομένων μπορεί να οδηγήσει σε σφάλματα ACL (Access Control List), μετατρέποντας μια ιδιωτική αποθήκευση σε δημόσια με ένα λάθος κλικ.

Δείτε επίσης: Σουηδία: Η Svenska kraftnät υπέστη παραβίαση δεδομένων

Για την EY, μια εταιρεία που ελέγχει συμφωνίες δισεκατομμυρίων δολαρίων και κατέχει δεδομένα οικονομικής σημασίας, αυτό το λάθος εγείρει ερωτήματα σχετικά με την εποπτεία σε ταχύτατες υποδομές. Οι ειδικοί προειδοποιούν ότι οι επιτιθέμενοι πραγματοποιούν συνεχώς αυτοματοποιημένες σαρώσεις κάτι που σημαίνει ότι οι εκθέσεις δεν είναι υποθετικές. Το ερώτημα είναι “πόσοι” δράστες τις παρατηρούν. Καθώς η πολυπλοκότητα του cloud αυξάνεται, τα εργαλεία συνεχούς χαρτογράφησης και ορατότητας γίνονται απαραίτητα για να προλάβουν τις απειλές.