GMO Trust Login'de 45 bin 30 kişinin verisi logo alanında açıkta kaldı

GMO GlobalSign, 30 Ekim'de tek oturum açma (SSO) hizmeti “GMO Trust Login”deki yapılandırma hatası nedeniyle bilgi sızıntısı yaşandığını açıkladı. Sızıntıdan 2.492 kurumsal müşteri ve 45.030 kişinin ad-soyad ile e-posta adresi gibi bilgileri etkilendi.

Şirkete göre sorunun kaynağı tasarım: müşteri bilgisi içeren geçici dosyalar, logo görsellerinin tutulduğu herkese açık alana kaydediliyordu. Bu nedenle dosyalar yaklaşık dokuz yıl boyunca dışarıdan indirilebildi. Dosya bağlantılarında imza ya da son kullanma süresi de yoktu.

Nasıl fark edildi

Sorun 14 Eylül'de, bir dış güvenlik araştırmacısının açık bildirim programı üzerinden yaptığı rapor sayesinde ortaya çıktı. Dışarıdan dosya erişimi aynı gece başlayan işlemle ertesi günün akşamına kadar tamamen kapatıldı. Kök neden, 14 Kasım 2017 civarında logo dağıtım yükünü azaltmak için depolamanın herkese açık alana taşınmasıydı.

Üçüncü kişilerin dosya indirdiği kayıtlarla ancak 8 Haziran 2021'den itibaren doğrulanabiliyor. Öncesinde kayıt tutulmadığı için indirme olup olmadığı bilinmiyor, ancak o dönem de kapsama alındı. Düzenli sızma testleri uygulamaları ve sunucuları kapsıyordu; dosya depolaması kapsam dışıydı.

İki grup dosya sızdı. Birincisi, yöneticilerin toplu işlemleri sırasında sistemin ürettiği şablon ve hata dosyaları: e-posta, ad-soyad, uygulama adı, çalışan numarası gibi öznitelikler içeriyor ve 2.184 şirketteki 44.836 kişiyi kapsıyor. İkincisi, sözleşme dosyaları: şirket kimliği, lisans sayısı, kullanım durumu, fesih tarihi ile fatura muhatabının adı, adresi, telefonu ve e-postası. Bu gruptan 217 şirket ve 194 kişi etkilendi; ayrıca kimliği belirlenemeyen 91 şirket var.

Giriş parolaları, gizli soru-cevaplar, çok faktörlü kimlik doğrulama bilgileri, bağlı servis parolaları ve kredi kartı gibi ödeme bilgileri sızıntıya dahil değil.

Alınan önlemler

Aynı grupta yer alan GMO Cybersecurity by Ierae'nin incelemesi, dosyaların üçüncü kişilerce indirildiğini ve kötü amaçlı kullanım ihtimalini doğruladı. Etkilenen sayı, 16 Eylül'deki ilk geçici rakamdan arttı; ilk incelemede eksik dosya ve hatalı ölçüt tespit edildi.

Şirket artık imzalı ve bir saat geçerli indirme bağlantıları kullanıyor, dosya listelemeyi kapattı. Logo gibi herkese açık içerikler yalnızca özel dağıtım mekanizmasıyla, belirli dosya türleriyle sunulacak. Müşteri verisi içeren dosyalar otomatik silinecek, dosya işlemleri ortak bir bileşende toplanacak ve dış kuruluş denetimleri tüm bulut ortamına yılda iki kez uygulanacak.