Cloud Box が誤って個人データを一般公開してしまいました。その中には Apple ファイルも含まれていました

最近では、セキュリティの脆弱さにより、Apple やその他の大企業の機密データが公開されそうになりました。問題は、Box クラウド ストレージの不適切な構成であり、権限のないユーザーが機密データにアクセスできるようになりました。このバグはセキュリティ研究者によって発見されました。

クラウド サービス プロバイダーは通常、保存されたデータの共有の容易さとともに、ストレージのセキュリティを宣伝します。これらのサービスのサーバーにデータを配置すると、運営者がデータの保護にどれほど努めたとしても、データが発見されたり悪用されたりする一定のリスクが常に伴います。また、機密情報が第三者の信用なしに公開されることもあります。

Adversial の研究者が最近 彼らは知った、Box Enterpriseの主要顧客の一部のデータが危険にさらされているということです。 TechCrunchは、共有機能を使用するだけで、言及されたデータが公開される可能性があると報告した。これらは文字通り、Box サービスを使用する数百の重要なクライアントからの数十万のドキュメントと TB のデータでした。

問題は、カスタム ドメイン上のリンクを介してファイルを共有する方法にありました。 Adversis の従業員がリンクを発見すると、サブドメイン上の他の秘密リンクをブルート フォース攻撃するのは簡単でした。

Adversis によると、Box はアカウント管理者に対し、社内のユーザーのみが共有リンクにアクセスできるように構成するようアドバイスしました。このようにして、彼らの公衆への暴露は避けられることになった。

 

Adveris によると、簡単に公開され悪用される可能性のあるデータには、パスポートの写真、銀行口座番号、社会保障番号、またはさまざまな財務データや顧客データなどが含まれます。 Apple の場合、これらは具体的には、価格表やログ ファイルなどの「機密でない内部データ」を含むフォルダーでした。

Box ストレージ内のデータが侵害された可能性のある他の企業には、Discovery、Herbalife、Pointcate、および Box 自体が含まれます。言及されたすべての企業は、間違いを修正するためにすでに必要な措置を講じています。