Cloud Box paljasti vahingossa yksityisiä tietoja yleisölle. Apple-tiedostot olivat niiden joukossa

Viime aikoina Applen ja muiden suurten yritysten luottamukselliset tiedot ovat tulleet lähes julkisiksi huonon tietoturvan vuoksi. Vika on Box-pilvitallennustilan huono konfiguraatio, jonka ansiosta luvattomat henkilöt pääsivät käsiksi arkaluontoisiin tietoihin. Vian löysivät tietoturvatutkijat.

Pilvipalveluntarjoajat mainitsevat yleensä tallennustilansa turvallisuuden sekä tallennettujen tietojen jakamisen helppouden. Tietojen sijoittamiseen näiden palveluiden palvelimille liittyy aina tietty riski niiden löytämisestä ja väärinkäytöstä huolimatta siitä, kuinka paljon operaattorit yrittävät suojata niitä. Voi myös käydä niin, että arkaluonteiset tulevat julkisiksi ilman kolmannen osapuolen lupaa.

Adversisin tutkijat äskettäin he saivat selville, että joidenkin Box Enterprisen suurten asiakkaiden tiedot ovat vaarassa. TechCrunch kertoi, että yksinkertaisesti käyttämällä jakamistoimintoa mainitut tiedot altistettiin paljastamiselle. Nämä olivat kirjaimellisesti satoja tuhansia asiakirjoja ja TB dataa sadoilta tärkeiltä asiakkailta, jotka käyttivät Box-palvelua.

Ongelmana oli tapa, jolla tiedostoja voitiin jakaa mukautettujen verkkotunnusten linkkien kautta. Kun Adversis-työntekijät löysivät linkin, heidän oli helppoa raa'alla väkivallalla muut aliverkkotunnuksen salaiset linkit.

Adversisin mukaan Box neuvoi tilin ylläpitäjiä määrittämään jaetut linkit siten, että vain yrityksen sisällä olevat ihmiset voivat käyttää niitä. Tällä tavoin heidän altistuminen yleisölle oli vältettävä.

 

Adverisin mukaan helposti julkisuuteen ja siten väärinkäytettyihin tietoihin kuuluivat esimerkiksi passikuvat, pankkitilinumerot, sosiaaliturvatunnukset tai erilaiset talous- ja asiakastiedot. Applen tapauksessa nämä olivat nimenomaan kansioita, jotka sisälsivät "ei-arkaluonteisia sisäisiä tietoja", kuten hinnastoja tai lokitiedostoja.

Muita yrityksiä, joiden Box-tallennustilassa olevat tiedot ovat mahdollisesti vaarantuneet, ovat Discovery, Herbalife, Pointcate sekä itse Box. Kaikki mainitut yritykset ovat jo ryhtyneet tarvittaviin toimenpiteisiin virheen korjaamiseksi.