GMO Trust Login: wyciek danych 45 030 osób przez publiczny zasób

Firma GMO GlobalSign poinformowała 30 października, że błąd konfiguracji usługi jednokrotnego logowania „GMO Trust Login” doprowadził do wycieku danych. Dotyczy on 2492 firm-klientów i 45 030 osób, a ujawnione informacje obejmują m.in. imiona i nazwiska oraz adresy e-mail.

Przyczyną był sposób zaprojektowania systemu: pliki tymczasowe z danymi klientów trafiały do tego samego publicznego zasobu, w którym przechowywano obrazy logo. Dzięki temu przez około dziewięć lat można je było pobrać z zewnątrz. Odnośniki nie miały podpisu ani terminu ważności.

Jak do tego doszło

O problemie spółka dowiedziała się 14 września od zewnętrznego badacza bezpieczeństwa, który skorzystał z programu zgłaszania podatności. Pobieranie plików z zewnątrz zablokowano w nocy tego samego dnia, a całkowicie do popołudnia następnego. Źródłem kłopotu była zmiana z około 14 listopada 2017 roku, gdy dla odciążenia dystrybucji logo przeniesiono magazyn do zasobu publicznego.

Pobrania przez osoby trzecie potwierdzają logi dopiero od 8 czerwca 2021 roku. Wcześniejszych logów brak, więc nie wiadomo, czy do pobrań dochodziło, ale dane z tego okresu także uwzględniono. Regularne testy penetracyjne obejmowały aplikacje i serwery, lecz nie magazyn plików.

Wyciekły dwa rodzaje plików. Pierwszy to pliki generowane przez system podczas zbiorczych operacji administratorów, np. szablony i pliki błędów; zawierały adresy e-mail, nazwiska, nazwy aplikacji oraz atrybuty, takie jak numer pracownika, i dotyczą 2184 firm oraz 44 836 osób. Drugi to pliki umów z danymi firmy oraz osoby odpowiedzialnej za fakturowanie (nazwisko, adres, telefon, e-mail): 217 firm i 194 osoby, plus 91 firm, których nie dało się zidentyfikować.

Nie ujawniono haseł do logowania, pytań zabezpieczających, danych uwierzytelniania wieloskładnikowego, haseł do usług ani danych płatniczych.

Środki zaradcze

GMO Cybersecurity by Ierae, należąca do tej samej grupy, potwierdziła, że pliki pobierały osoby trzecie, możliwe w złych zamiarach. Liczba poszkodowanych wzrosła względem wstępnych danych z 16 września, bo wcześniejsza analiza pomijała część plików i miała błędne kryteria.

Spółka wprowadziła linki podpisane z ważnością jednej godziny i wyłączyła listowanie plików. Publiczne zasoby mają działać wyłącznie przez dedykowany mechanizm dystrybucji, z ograniczeniem typów plików. Planowane są też automatyczne usuwanie danych klientów, wspólny komponent do obsługi plików oraz audyty zewnętrzne całego środowiska chmurowego dwa razy w roku.