Mená, adresy, e-maily aj telefónne čísla tisícov ľudí boli voľne dostupné na internete. Výskumník Jeremiah Fowler našiel nezabezpečenú databázu so zhruba 42 miliónmi dokumentov, ktorá patrila americkej firme CitySourced. Jej aplikáciu používajú samosprávy na to, aby im obyvatelia mohli nahlasovať problémy v meste. Databáza už je uzavretá, no nie je jasné, ako dlho bola otvorená a kto všetko si ju stihol pozrieť.
CitySourced je americká firma z oblasti takzvaného GovTechu, teda technológií pre verejnú správu. Vyvíja softvér, cez ktorý môžu obyvatelia nahlásiť miestnej samospráve napríklad výtlk na ceste, graffiti alebo pokazenú pouličnú lampu. Firma vznikla v roku 2009, v apríli 2019 sa spojila so spoločnosťou Rock Solid Technologies a tú v októbri 2022 kúpil veľký dodávateľ technológií pre verejnú správu Granicus.
Mohlo by vás zaujímať
Čo všetko bolo v databáze
Podľa Fowlera obsahovala databáza približne 42 miliónov dokumentov a 450-tisíc súborov JSON s osobnými údajmi, ktoré neboli nijako zašifrované, píše TechRadar. Väčšinu tvorili obrázky sťažností a hlásení o porušení miestnych predpisov. Keď si však Fowler prezrel menšiu vzorku, našiel v nej aj mená ľudí, ich adresy, e-maily a telefónne čísla, ako aj tisíce interných záznamov z rokov 2016 až 2026. Na jednej zo snímok, ktoré zverejnil, je aj súbor s položkami pre používateľské meno a heslo. Databáza pritom nebola chránená ani heslom. Kto poznal jej adresu, mohol si súbory pozrieť priamo v internetovom prehliadači, teda na to nepotreboval žiadne špeciálne nástroje. Podľa Fowlera sa údaje týkali približne 184 miest a oblastí, ktoré túto platformu používajú. Okrem 38 amerických štátov a Portorika išlo aj o päť kanadských provincií, Bahamy a Bermudy.
V databáze boli aj priečinky s názvami ako Api, Customers, Data, Developers, FileStorage, Public, Support či Logs, teda pomerne zjavne interné súčasti aplikácie. Fowler v nej našiel aj viacero súborov s príponou .sdk a .exe. TechRadar upozorňuje, že spustiteľné súbory do takejto databázy nepatria a môžu naznačovať, že sa do nej niekto pokúsil podstrčiť škodlivý softvér. Fowler však vo svojej správe o škodlivom softvéri nepíše.
Firma dazabázu uzavrela
Fowler pri podobných nálezoch zvykne zdôrazňovať, že ten, komu databáza patrí, ešte nemusí byť ten istý subjekt, ktorý ju spravuje. Nevedel preto určiť, či ju neprevádzkoval externý dodávateľ. Na CitySourced ho naviedol názov databázy a súborov v nej. Po tom, ako firmu kontaktoval, bola databáza rýchlo uzavretá. Spoločnosť mu poďakovala za zodpovedné nahlásenie a uviedla, že Granicus informácie preveril, vec interne vyšetril a prijíma opatrenia.
Hovorca spoločnosti Granicus neskôr pre StateScoop uviedol, že problém odhalili a úplne vyriešili už v auguste. CitySourced podľa neho funguje ďalej, pričom prístupové práva sú nastavené tak, aby k údajom nemal prístup nikto zvonku. Koľkých zákazníkov sa únik týka, neprezradil. Jasné nie je ani to, ako dlho bola databáza otvorená a či sa k údajom dostal aj niekto iný ako Fowler.
Veľmi cenné údaje
Na prvý pohľad sa môže zdať, že meno, adresa a telefónne číslo nie sú nič extrémne tajné. Pre podvodníkov sú to však veľmi užitočné dáta. Keď o človeku vedia, kde býva a čo nahlasoval na úrad, môžu mu poslať podvodnú správu ušitú na mieru, ktorá pôsobí dôveryhodne, a teda má väčšiu šancu uspieť. Takéto údaje sa navyše často predávajú alebo voľne zdieľajú na dark webe, útočníci ich využívajú aj pri vydieraní cez ransomvér. Security Magazine k tomu pripomína, že miestne samosprávy sú pre útočníkov obzvlášť citlivým cieľom, pretože útok môže vážne narušiť ich fungovanie.
Úniky údajov sú pritom pre firmy čoraz drahšie. Podľa tohtoročnej správy IBM Cost of a Data Breach stál jeden únik v priemere 4,99 milióna dolárov (približne 4,48 milióna eur), čo je o 12 percent viac ako vlani. V Spojených štátoch to bolo dokonca 11,5 milióna dolárov (asi 10,3 milióna eur). Odhaliť a zastaviť únik trvalo firmám v priemere 247 dní. Fowler napriek tomu nachádza otvorené databázy pravidelne. Tento rok napríklad upozornil aj na tri nezabezpečené databázy filmového festivalu Tribeca, v ktorých bolo vyše 666-tisíc záznamov vrátane kontaktov na známe osobnosti.
Dá sa tomu predísť
Zle nastavené databázy patria medzi najčastejšie príčiny podobných únikov. Niektoré firmy si neuvedomujú, že za bezpečnosť údajov, ktoré vytvárajú, zodpovedajú samy, a spoliehajú sa na poskytovateľa cloudu. Iné o chybnom nastavení jednoducho nevedia, takže ich údaje sú dostupné komukoľvek a riskujú poškodenú povesť aj hromadné žaloby. Fowler odporúča oddeliť údaje jednotlivých zákazníkov ako od seba navzájom, tak aj od interných údajov firmy. Ak sa potom niečo stane s jedným zákazníkom, či už pre útok, chybu v nastavení alebo neoprávnený prístup, údaje ostatných zostanú v bezpečí. Úložiská, zálohy a citlivé údaje by zase mali byť zašifrované a chránené pred neoprávneným prístupom.
Hoci sa tento únik týka najmä obyvateľov Severnej Ameriky, ponaučenie platí všade. Únikov bolo za posledné roky toľko, že je takmer nemožné, aby niečie údaje zostali úplne súkromné. Platí to najmä pre mená a e-mailové adresy. Bezpečnejšie je preto počítať s tým, že podvodníci o vás už niečo vedia. Preto buďte maximálne opatrní, a to hlavne pri e-mailoch, ktoré ste nečakali, a pri správach s odkazmi, prílohami alebo naliehavou výzvou, aby ste niečo urobili hneď.
