Cloud Box heeft per ongeluk privégegevens openbaar gemaakt. Apple-bestanden bevonden zich daaronder

Door de slechte beveiliging zijn vertrouwelijke gegevens van Apple en andere grote bedrijven de afgelopen tijd bijna openbaar geworden. De fout is een slechte configuratie van de Box-cloudopslag, waardoor onbevoegden toegang konden krijgen tot gevoelige gegevens. De bug werd ontdekt door beveiligingsonderzoekers.

Cloudserviceproviders prijzen meestal de veiligheid van hun opslag aan, samen met het gemak waarmee opgeslagen gegevens kunnen worden gedeeld. Het plaatsen van gegevens op de servers van deze diensten brengt altijd een zeker risico met zich mee dat ze ontdekt en misbruikt worden, hoezeer de exploitanten ze ook proberen te beveiligen. Het kan ook voorkomen dat gevoelige informatie openbaar wordt zonder de kredietwaardigheid van een derde partij.

Onderzoekers van Adversis onlangs ze kwamen erachter, dat de gegevens van enkele van de belangrijkste klanten van Box Enterprise in gevaar zijn. TechCrunch meldde dat simpelweg door gebruik te maken van de deelfunctie de genoemde gegevens werden blootgesteld aan de mogelijkheid van openbaarmaking. Dit waren letterlijk honderdduizenden documenten en TB aan gegevens van honderden belangrijke klanten die de Box-service gebruikten.

Het probleem was de manier waarop bestanden konden worden gedeeld via links op aangepaste domeinen. Zodra medewerkers van Adversis de link hadden ontdekt, konden ze gemakkelijk andere geheime links op het subdomein bruut forceren.

Volgens Advversis heeft Box accountbeheerders geadviseerd om gedeelde links zo te configureren dat alleen mensen binnen het bedrijf er toegang toe hebben. Op deze manier moest hun blootstelling aan het publiek worden vermeden.

 

Tot de gegevens die volgens Adveris gemakkelijk openbaar konden worden en dus misbruikt konden worden, behoorden bijvoorbeeld pasfoto's, bankrekeningnummers, burgerservicenummers of diverse financiële en klantgegevens. In het geval van Apple ging het specifiek om mappen met "niet-gevoelige interne gegevens" zoals prijslijsten of logbestanden.

Andere bedrijven waarvan de gegevens in Box-opslag mogelijk zijn aangetast, zijn onder meer Discovery, Herbalife, Pointcate en Box zelf. Alle genoemde bedrijven hebben al de nodige stappen ondernomen om de fout te corrigeren.