Cloud Box przypadkowo udostępnił publicznie prywatne dane. Wśród nich znalazły się pliki Apple

W ostatnim czasie, ze względu na słabe bezpieczeństwo, poufne dane Apple i innych dużych firm niemal stały się publiczne. Usterką jest zła konfiguracja magazynu w chmurze Boxa, która umożliwiła osobom nieupoważnionym dostęp do wrażliwych danych. Błąd został odkryty przez badaczy bezpieczeństwa.

Dostawcy usług w chmurze zazwyczaj zachwalają bezpieczeństwo swojego przechowywania i łatwość udostępniania przechowywanych danych. Umieszczenie danych na serwerach tych usług zawsze niesie ze sobą pewne ryzyko ich odnalezienia i niewłaściwego wykorzystania, pomimo tego, jak bardzo operatorzy starają się je zabezpieczyć. Może się również zdarzyć, że dane wrażliwe zostaną upublicznione bez wiedzy osoby trzeciej.

Naukowcy z Adversis niedawno zorientowali się, że dane niektórych głównych klientów Box Enterprise są zagrożone. TechCrunch podał, że samo skorzystanie z funkcji udostępniania powodowało, że wspomniane dane były narażone na możliwość ujawnienia. Były to dosłownie setki tysięcy dokumentów i TB danych od setek ważnych klientów korzystających z usługi Box.

Problem polegał na sposobie udostępniania plików za pośrednictwem łączy w domenach niestandardowych. Gdy pracownicy Adversis odkryli link, łatwo było im brutalnie wymusić inne tajne linki w subdomenie.

Według Adversis Box doradził administratorom kont, aby skonfigurowali udostępnione łącza tak, aby dostęp do nich miały tylko osoby z firmy. W ten sposób należało uniknąć ich narażenia na widok publiczny.

 

Według Adverisa do danych, które łatwo mogłyby zostać upublicznione i w ten sposób wykorzystane niezgodnie z przeznaczeniem, zaliczają się na przykład zdjęcia paszportowe, numery kont bankowych, numery ubezpieczenia społecznego czy różne dane finansowe i dotyczące klientów. W przypadku Apple były to konkretnie foldery zawierające „niewrażliwe dane wewnętrzne”, takie jak cenniki lub pliki dziennika.

Inne firmy, których dane w magazynie Box zostały potencjalnie naruszone, to Discovery, Herbalife, Pointcate, a także sam Box. Wszystkie wymienione firmy podjęły już niezbędne kroki w celu naprawienia błędu.