O serviço de streaming de vídeo gratuito Kanopy permitiu um vazamento maciço de dados de seus usuários. Um erro na configuração do banco de dados do blog abriu o acesso público ao seu conteúdo sem autenticação. O vazamento foi descoberto pelo pesquisador de segurança da informação Justin Paine.
Segundo o especialista, de 7 de março, de 26 a 40 milhões de entradas de log do banco de dados poderiam ter acesso público.
O que aconteceu
O serviço Kanopy faz acordos com bibliotecas e organizações públicas para fornecer aos usuários acesso gratuito a filmes antigos, documentários e outros tipos de conteúdo de vídeo.
Os logs vazados continham uma grande quantidade de informações sobre os usuários, incluindo geolocalização, registros de data e hora, tipo de dispositivo, endereço IP e URL das páginas solicitadas por eles. Payne tem certeza de que tudo isso é suficiente para revelar a identidade do usuário final do recurso. Além disso, possíveis invasores podem descobrir que tipo de conteúdo uma pessoa estava visualizando online.
No momento, o erro foi corrigido e não há informações de que alguém tentou usar as informações que chegaram ao acesso público para fins desonestos. Ao mesmo tempo, Payne acredita que, dependendo do que o usuário assistiu, os possíveis invasores podem tentar chantagear.
Não apenas o kanopy
Ultimamente, vazamentos desse tipo têm ocorrido com mais frequência. Portanto, na primavera de 2019, a rede social do Facebook
reconheceu o fato de que as senhas de milhões de usuários foram armazenadas em forma não criptografada; no ano passado, o serviço de fotos do Instagram, Instagram, também
sofreu um vazamento de dados. Os desenvolvedores de jogos da Bethesda também admitiram que vazaram acidentalmente dados pessoais de jogadores no Fallout 76.
Durante os projetos de investigação de incidentes e durante a análise de tráfego, encontramos regularmente erros típicos nas configurações dos sistemas de informação e violações dos regulamentos corporativos sobre segurança da informação. Em 9 entre 10 organizações, independentemente de seu tamanho e escopo, existem duas senhas transmitidas de forma clara e o uso de utilitários de acesso remoto. Tudo isso aumenta seriamente as chances dos invasores invadirem e desenvolverem um ataque.
Na quinta-feira, 11 de abril às 14:00, durante um seminário on-line gratuito, os especialistas da Positive Technologies analisarão os erros de configuração e violações mais populares dos regulamentos de SI e mostrarão como detectá-los rapidamente usando o sistema de análise de tráfego PT Network Attack Discovery . Os alunos também aprenderão o que precisa ser feito para melhorar a higiene da rede na organização. Convidamos administradores de rede, especialistas em segurança da informação e seus gerentes, bem como parceiros da Positive Technologies.
Para participar do webinar, você precisa se registrar .