ApplyNow: утечка данных 396 920 человек из-за непропатченной уязвимости

Во всех трёх сервисах утекли имена корпоративных пользователей, адреса электронной почты, хешированные пароли и сведения о правах доступа. В Interview Cloud затронуты также имена соискателей, их фонетическая запись, телефоны и e-mail, а у части — даты отклика и собеседования, дата рождения, пол и профессия.

В ApplyNow Sign у части людей раскрыты My Number, название банка и данные счёта, номер базовой пенсии, номер карты резидента, номер страхования по безработице, сведения о налоговом вычете на иждивенцев, дата рождения, пол и адрес. Данные кредитных карт, изображения удостоверяющих документов и видео интервью не пострадали. На 4 ноября вторичного ущерба, например злоупотребления данными, компания не обнаружила.

Как произошёл взлом

По данным расследования, злоумышленник проник в систему 9 августа через уязвимость во внутреннем инструменте анализа данных, получил права администратора, 23 и 26 августа просматривал часть базы, а 7 сентября выгрузил информацию целиком. В тот же день остановка инструмента помогла заметить аномалию; компания отключила поддельные учётные записи и закрыла каналы проникновения.

Причиной ApplyNow назвала то, что не знала об опубликованной поставщиком уязвимости и поздно установила исправление. Отсутствие ограничений по источнику подключения замедлило обнаружение подозрительных действий. Кроме того, из аналитического инструмента можно было обращаться к персональным данным, сроки хранения не были установлены, а данные компаний с истёкшими контрактами не удалялись.

Компания уже установила исправление и ограничила доступ к инструменту определёнными IP-адресами. Дальше она планирует удалять данные после окончания контрактов, внедрить автоматические уведомления о подозрительных операциях и задать сроки хранения персональных данных.