نقض گسترده GovTech 42 میلیون سند را فاش می کند - از جمله هزاران سند مملو از اطلاعات شخصی

محقق پایگاه داده افشا شده حاوی 42 میلیون سند و صدها هزار پرونده با داده های شخصی را پیدا می کند

مخزن مرتبط با CitySourced نام ها، جزئیات تماس، گزارش های شکایات و سوابق داخلی را برای سال ها افشا کرد.

پایگاه داده پس از فاش شدن، ایمن شد و خطرات مداوم ناشی از پیکربندی نادرست ذخیره سازی ابری را برجسته می کند میلیون‌ها سند، که بسیاری از آنها اطلاعات شناسایی شخصی (PII) را افشا می‌کردند، به صورت آنلاین در یک پایگاه داده باز قرار داشتند که برای هرکسی که یک مرورگر دارد و می‌داند کجا باید نگاه کند، در دسترس بود. پایگاه داده متعلق به یک شرکت GovTech به نام CitySourced است و از آن زمان قفل شده است.

جرمیا فاولر محقق امنیت سایبری گزارش داد که پایگاه داده ای حاوی تقریبا 42 میلیون سند و 450000 فایل JSON حاوی PII به صورت متن ساده است.

سوابق افشا شده عمدتا شامل تصاویر شکایات یا گزارش‌های نقض کد بود، اما پس از تجزیه و تحلیل یک نمونه محدود، فاولر دریافت که پایگاه داده حاوی اسامی افراد، آدرس‌های پستی، آدرس ایمیل، شماره تلفن و «هزاران پرونده داخلی مربوط به سال‌های 2016 تا 2026» است.

این نوع اطلاعات یک معدن طلا برای مجرمان سایبری است. با دانستن اطلاعات خصوصی در مورد اهداف خود، آنها می توانند پیام های فیشینگ سفارشی و شخصی سازی شده ایجاد کنند و شانس موفقیت خود را افزایش دهند. داده هایی مانند این اغلب در وب تاریک به اشتراک گذاشته می شوند و به فروش می رسند و اغلب به عنوان اهرمی در مذاکرات باج افزار استفاده می شوند.

CitySourced واکنش نشان می دهد

فاولر توضیح داد که مخزن در معرض دایرکتوری های مختلف برنامه های سطح بالا، نام هایی مانند Api، Content، Customers، Data، Developers، FileStorage، json، Product، Public، Support، Widget، temp، Logs و غیره را فهرست می کند. ظاهرا، بایگانی همچنین حاوی چندین فایل .sdk و .exe بود - که کاملا نامناسب هستند و می توانند نشان دهند که شخصی سعی در نصب بدافزار داشته است.

نام پایگاه داده و فایل های داخل باعث شد فاولر به این نتیجه برسد که آنها متعلق به یک شرکت آمریکایی به نام CitySourced هستند. این یک شرکت فناوری مدنی ایالات متحده (GovTech) است که نرم‌افزاری را توسعه می‌دهد که ساکنان می‌توانند از آن برای گزارش مسائل محلی مانند چاله‌ها یا خرابی چراغ‌های خیابان به مقامات شهرداری استفاده کنند. این شرکت در سال 2009 تأسیس شد و در سال 2019 با Rock Solid Technologies ادغام شد. سه سال بعد، این شرکت توسط ارائه‌دهنده فناوری دولتی Granicus خریداری شد.

فاولر هنگام گزارش در مورد این پایگاه‌های داده معمولا تأکید می‌کند که مالکیت و بهره‌برداری دو چیز متفاوت هستند و او نمی‌تواند تشخیص دهد که آیا یک پیمانکار شخص ثالث آن را مدیریت کرده است یا خیر. با این حال، پس از تماس با CitySourced، شرکت پایگاه داده را قفل کرد و از فاولر برای تلاش‌هایش تشکر کرد:

CitySourced گفت: "باز هم برای افشای مسئولانه و پیگیری شما متشکریم." گرانیکوس اطلاعاتی را که شما ارائه کرده‌اید بررسی کرده است، موضوع را به صورت داخلی بررسی کرده و برای رسیدگی به این مشکل اقدام می‌کند.

نحوه ایمن سازی پایگاه داده

پایگاه داده های نادرست پیکربندی شده همچنان یکی از دلایل اصلی نشت داده ها هستند. برخی از کسب‌وکارها نمی‌دانند که مسئول امنیت داده‌هایی هستند که ایجاد می‌کنند و در عوض معتقدند که این مسئولیت بر عهده ارائه‌دهنده ابر آنها است. دیگران به سادگی از پیکربندی نادرست آگاه نیستند، داده‌ها را به طور گسترده در دسترس می‌گذارند و خطر آسیب به شهرت و حتی دعاوی دسته‌جمعی را به همراه دارند.

فاولر می‌گوید کسب‌وکارها می‌توانند زیرساخت‌های خود را با تقسیم‌بندی محیط‌های مشتری و داده‌های داخلی ایمن کنند.

هیچ دلیلی وجود ندارد که همه تخم مرغ ها در یک سبد قرار گیرند، بنابراین در صورت بروز مشکل، خطای پیکربندی یا دسترسی غیرمجاز به یک مستاجر، اطلاعات متعلق به سازمان های دیگر امن باقی می ماند.

وی افزود: سیستم‌های ذخیره‌سازی، پشتیبان‌گیری و داده‌های حساس باید رمزگذاری شده و در برابر دسترسی غیرمجاز محافظت شوند. جداسازی مستاجر، کنترل‌های دسترسی و رمزگذاری اولین لایه دفاعی خوبی را ارائه می‌کند که می‌تواند تأثیر کلی یک حادثه امنیت داده را محدود کند.

افراد باید فرض کنند که مجرمان سایبری از قبل چیزی در مورد آنها می دانند. در طول سال‌ها به قدری نقض شد که تقریبا غیرممکن است که داده‌های کسی کاملا خصوصی بماند - حداقل مواردی مانند نام‌ها و ایمیل‌ها. بنابراین، آنها باید همیشه با تردید به ایمیل های دریافتی، به خصوص ایمیل های ناخواسته، و کسانی که دارای لینک ها، پیوست ها یا پیام های فوری هستند، برخورد کنند.