Cloud Box omylem zpřístupnil soukromá data veřejnosti. Byly mezi nimi i soubory Applu

V nedávné době došlo k tomu, že se kvůli špatnému zabezpečení málem dostala na veřejnost důvěrná data Applu a dalších velkých společností. Na vině je špatná konfigurace cloudového úložiště Box, kvůli kterému se k nepovolaným osobám dostaly citlivé údaje. Chybu objevili bezpečnostní výzkumní pracovníci.

Provozovatelé cloudových služeb obvykle vyzdvihují bezpečnost svých úložišť spolu s jednoduchostí sdílení uložených dat. Umístění dat na servery těchto služeb s sebou ale vždy nese určité riziko jejich odhalení a zneužití, a to i navzdory tomu, jak moc se je provozovatelé snaží zabezpečit. Může se také stát, že se citlivá dostanou na veřejnost, aniž by na tom měly zásluhu třetí osoby.

Výzkumní pracovníci z firmy Adversis nedávno zjistili, že údaje některých hlavních klientů Box Enterprise jsou v ohrožení. Server TechCrunch přinesl zprávu, že pouhým využitím funkce sdílení byla zmíněná data vystavena možnosti odhalení. Jednalo se doslova o stovky tisíc dokumentů a TB dat stovek významných klientů využívajících službu Box.

Problém spočíval ve způsobu, jakým bylo možné soubory sdílet prostřednictvím odkazů na vlastních doménách. Jakmile zaměstnanci společnosti Adversis daný odkaz objevili, bylo pro ně snadné za pomoci metody brute force odhalit na subdoméně další tajné odkazy.

Podle firmy Adversis doporučoval Box administrátorům účtů, aby sdílené odkazy nakonfigurovali tak, aby k nim měli přístup jen osoby v dané firmě. Tímto způsobem se mělo zamezit jejich vystavení veřejnosti.

 

Mezi data, která se mohla snadno dostat na veřejnost a být tak zneužita, patřily podle Adverisu například fotografie z cestovních pasů, čísla bankovních kont, čísla sociálního pojištění nebo různé finanční a zákaznické údaje. V případě Applu se konkrétně jednalo o složky obsahující „interní data, která nejsou citlivá“, jako například ceníky nebo soubory protokolů.

Mezi další firmy, jejichž data v úložišti Box byla potenciálně ohrožena, patří Discovery, Herbalife, Pointcate, ale také Box samotný. Všechny zmíněné společnosti již podnikly kroky potřebné k nápravě chyby.