GMO Trust Login: Datenleck betrifft 45.030 Personen

GMO GlobalSign hat am 30. Oktober bekannt gegeben, dass durch eine Fehlkonfiguration beim Single-Sign-On-Dienst GMO Trust Login Namen, E-Mail-Adressen und weitere Daten von 2.492 Kundenunternehmen und 45.030 Personen abrufbar waren.

Ursache war eine Designentscheidung: Temporäre Dateien mit Kundendaten lagen im selben öffentlichen Speicherbereich wie die Logo-Bilder. Um den 14. November 2017 hatte das Unternehmen den Speicher dorthin verlegt, um die Last bei der Auslieferung der Logos zu senken. Wer die Dateiliste aufrief, konnte einzelne Dateien herunterladen; die Links hatten weder Signatur noch Ablaufdatum. Nach Einschätzung des Unternehmens waren die Dateien von etwa November 2017 bis zur Sperrung am 15. September 2026 von außen erreichbar.

Welche Daten betroffen sind

Betroffen sind zwei Dateiarten. Die erste entstand, wenn Administratoren der Kunden Massenaktionen ausführten, etwa Passwörter stellvertretend setzten, benutzerdefinierte Attribute registrierten oder Mitglieder gesammelt hinzufügten. Diese Vorlagen- und Fehlerdateien enthielten E-Mail-Adressen, Namen, Namen verbundener Apps sowie Attribute wie Personalnummer und Abteilung. Es geht um 2.184 Unternehmen und 44.836 Personen.

Die zweite Art waren Vertragsdateien von GMO GlobalSign mit Firmen-ID, Lizenzzahl, Nutzung, Kündigungsdatum sowie Name, Adresse, Telefonnummer und E-Mail der Rechnungsempfänger. Bei 217 Unternehmen und 194 Personen wurden Rechnungskontakte abgerufen, hinzu kommen 91 nicht zuordenbare Firmen. Login-Passwörter, Sicherheitsfragen, Daten zur Multi-Faktor-Authentifizierung, Passwörter für angebundene Dienste und Zahlungsdaten waren nicht enthalten.

Entdeckung und Gegenmaßnahmen

Ein externer Sicherheitsforscher meldete das Problem am 14. September über das Schwachstellen-Meldeprogramm. Der externe Zugriff wurde von der Nacht an bis zum Nachmittag des Folgetags unterbunden. Downloads durch Dritte lassen sich in den Logs ab dem 8. Juni 2021 belegen; für frühere Zeiträume gibt es keine Logs, sie wurden dennoch einbezogen. Eine Untersuchung von GMO Cybersecurity by Ierae – ebenfalls GMO-Gruppe, vom Unternehmen aber als externe Fachstelle bezeichnet – kam zu dem Schluss, dass die Daten möglicherweise zu missbräuchlichen Zwecken abgerufen wurden.

Die Zahlen liegen über den vorläufigen Werten der ersten Meldung vom 16. September, weil fehlende Dateien und ein Fehler bei den Prüfkriterien auffielen. Regelmäßige Penetrationstests deckten Anwendungen und Server ab, nicht aber den Speicher – deshalb blieb die Lücke lange unbemerkt.

Nun gibt es signierte Download-Links mit einer Stunde Gültigkeit, Dateilisten sind überall gesperrt. Logos laufen künftig über ein eigenes Auslieferungssystem mit zugelassenen Dateitypen. Beim Entwurf von Dateifunktionen sind Prüfungen Pflicht, Kundendateien werden nach Aufbewahrungsfrist automatisch gelöscht, und externe Audits sollen zweimal jährlich die gesamte Cloud-Umgebung abdecken.