GMO Trust Login: утечка данных 45 030 человек из хранилища логотипов

Компания GMO GlobalSign 30 октября сообщила об утечке данных из-за ошибки конфигурации сервиса единого входа «GMO Trust Login». Затронуты 2492 компании-клиента и 45 030 человек: утекли имена, адреса электронной почты и другие сведения.

По данным компании, причина в архитектуре: временные файлы с информацией о клиентах сохранялись в той же публичной области, где лежали изображения логотипов. Поэтому около девяти лет их можно было скачать снаружи. Ссылки на файлы не имели ни подписи, ни срока действия.

Как это обнаружили

О проблеме компания узнала 14 сентября от внешнего исследователя безопасности через программу приёма сообщений об уязвимостях. Доступ к файлам извне закрыли в ту же ночь, полностью — к вечеру следующего дня. Корень проблемы — изменение примерно 14 ноября 2017 года: чтобы снизить нагрузку при раздаче логотипов, хранилище перенесли в публичную область.

Скачивание третьими лицами подтверждается логами только с 8 июня 2021 года. Более ранних логов нет, поэтому неизвестно, были ли обращения, но этот период тоже включён в расчёт. Регулярные тесты на проникновение охватывали приложения и серверы, но не файловое хранилище.

Утекли файлы двух типов. Первые — файлы, которые система создавала при массовых операциях администраторов: шаблоны и файлы ошибок. В них были адреса почты, имена, названия приложений и атрибуты вроде табельного номера; затронуты 2184 компании и 44 836 человек. Вторые — договорные файлы: идентификатор компании, число лицензий, статус использования, дата расторжения, а также имя, адрес, телефон и почта контактного лица по счетам. Это 217 компаний и 194 человека, плюс 91 компания, которую не удалось определить.

Пароли для входа, секретные вопросы, данные многофакторной аутентификации, пароли к подключённым сервисам и платёжные данные в утечку не вошли.

Меры

GMO Cybersecurity by Ierae, входящая в ту же группу, подтвердила, что файлы скачивали третьи лица, возможно со злым умыслом. Число пострадавших выросло по сравнению с предварительными данными от 16 сентября: первичная проверка охватила не все файлы и использовала неверные критерии.

Теперь ссылки подписываются и действуют один час, а просмотр списка файлов отключён. Публичные материалы будут отдаваться только через отдельный механизм раздачи с ограничением типов файлов. Также планируются автоудаление клиентских данных, единый компонент работы с файлами и внешний аудит всей облачной среды дважды в год.