Znaczna ilość wrażliwych danych o pracownikach rządu USA może być teraz w domenie publicznej po ich ujawnieniu w wyniku wycieku danych. Izraelscy badacze bezpieczeństwa Noam Rotem i Ran Locar odkryli 179 GB danych na niezabezpieczonym serwerze AWS, prowadzonym – jak sądzą – przez firmę świadczącą usługi turystyczne. Uważa się, że baza danych należy do AutoClerk, systemu zarządzania rezerwacjami, niedawno zakupionego przez Best Western Hotels and Resorts Group, i ujawniła poufne dane osobowe tysięcy osób, w tym ich rezerwacji hotelowych i turystycznych. 

Dane ujawnione przez niezabezpieczony segment sieci, do których każdy może uzyskać dostęp bez użycia hasła, obejmują: 

• Pełne imię i nazwisko 

• Data urodzenia 

• Adres domowy 

• Numer telefonu 

• Terminy i koszty podróży 

• Częściowe dane karty kredytowej 

W niektórych przypadkach dane obejmowały nawet dzienniki generałów armii amerykańskiej podróżujących do takich miejsc, jak Moskwa i Tel Awiw, a także numery pokoi hotelowych i godziny zameldowania. 

Naukowcy zauważają również, że byli w stanie przejrzeć „wiele niezaszyfrowanych danych logowania, aby uzyskać dostęp do kont w dodatkowych systemach zewnętrznych względem bazy danych”, co stwarza możliwość, że inne systemy rezerwacji hoteli i zakwaterowania mogą być zagrożone przez hakerów. 

W swoim blogu informującym o odkryciu naukowców VPNMentor opisał to zdarzenie jako „masowe naruszenie bezpieczeństwa dla rządowych agencji i departamentów”. 

Naukowcy wyjaśnili, w jaki sposób mógł uzyskać dostęp do wrażliwych danych: 

„Każdy, kto jest właścicielem danej bazy danych, korzysta z bazy danych Elasticsearch, która zwykle nie jest przeznaczona do używania adresów URL. Udało nam się jednak uzyskać do 

niego dostęp za pośrednictwem przeglądarki i w dowolnym momencie manipulować kryteriami wyszukiwania adresów URL w celu wyświetlenia schematów z jednego indeksu. 

Niepewni, do kogo należała baza danych, chociaż podejrzewając, że była to AutoClerk, badacze najpierw skontaktowali się z Zespołem gotowości na wypadek awarii komputera w Stanach Zjednoczonych (CERT). Ostatecznie dopiero po skontaktowaniu się z ambasadą USA w Tel Awiwie i skontaktowaniu się z Departamentem Obrony w Pentagonie zamknięto niezabezpieczoną bazę danych – tygodnie po jej pierwszym odkryciu. 

Szczególnie frustrujące jest to, że wyciekowi danych można było tak łatwo zapobiec. Serii publicznych naruszeń danych z niezabezpieczonych serwerów internetowych można by uniknąć, gdyby właściciele baz danych odpowiednio skonfigurowali swoje zabezpieczenia. 

Nadesłał: Bitdefender.pl http://www.bitdefender.pl