Dati sensibili della società di software esposti online

 

Buongiorno cari lettori, oggi parleremo di dati riservati che sono finiti online.

econdo i ricercatori, 103 GB di dati appartenenti al software Descartes Aljex di New Jersy sono stati lasciati esposti su un bucket AWS S3 non correttamente correttamente.

Durante le scansioni di routine del server alla ricerca di potenziali vulnerabilità, il team di Website Planet ha scoperto che una società di software con sede negli Stati Uniti che si concentra sulla fornitura di software di gestione dei trasporti per broker di merci multinazionali è stata colpita da una violazione dei dati che ha esposto un totale di 103 GB di dati.

Ancora un altro bucket AWS S3 non correttamente correttamente

Ciò ha interessato più di 4.000 persone, inclusi non solo i propri clienti, ma anche i dipendenti dell'azienda, i rappresentanti di vendita e le persone che lavorano per corrieri di terze parti.

I dati, che appartengono al software Descartes Aljex con sede a New Jersy, sono stati esposti da un bucket AWS S3 configurato in modo errato che li ha lasciati non protetti e vulnerabili alle intrusioni. Ciò significava che anche gli utenti senza permessi di accesso al Bucket solo inserendo l'URL corretto.

VEDERE: L 'azienda di software perde 25 GB di abbonamento e dati utente di Ancestry.com

È importante capire che si tratta di un difetto da parte di chi possiede o amministra il database e non ha impostato una procedura di autenticazione adeguata.

Quali dati sono stati esposti?

L'impatto sui clienti è stato intenso con l'acquisizione di un grande carico di informazioni di identificazione (PII). Per quanto riguarda i dettagli della spedizione, le informazioni sulla spedizione, il nome del destinatario del destinatario, l'origine e la destinazione della spedizione, gli indirizzi ei numeri del telefono sono stati inclusi nei dati esposti.

I dati degli account dei clienti Aljex che sono stati esposti includevano nomi completi, numeri di telefono, indirizzi e-mail, nomi utente Aljex e password in chiaro. Le informazioni sul vettore, i loro nomi completi e indirizzi di posta elettronica, nonché i loro indirizzi di casa e numeri di telefono sono stati compromessi.

Infine, i dettagli del rappresentante di vendita dei clienti Aljex che sono stati esposti includevano nomi completi, e-mail aziendali, nomi utente Aljex e ID rappresentanti di vendita.

I dettagli dei dipendenti sono trapelati durante la violazione dei dati (Immagine: Website Planet)

1 di 2

Rischi legati alla violazione dei dati

Questi dati potrebbero essere utilizzati dagli autori delle minacce per assistere nell'identificazione fraudolenta su altre piattaforme.

Inoltre, le truffe di phishing e malware potrebbero essere implementate anche tramite e-mail inviate agli indirizzi e-mail delle persone, inclusi "click-bait" personalizzati per indurre il target a fare clic su un sito Web non protetto.

Le aziende concorrenti potrebbero migrare o indirizzare i clienti nell'elenco degli utenti di Aljex come forma di spionaggio aziendale e pratiche anticoncorrenziali. Attraverso nomi utente e password trapelati, gli hacker potrebbero dirottare gli account interessati e causare gravi danni alle operazioni commerciali di Aljex, che a loro volta potrebbero interessare anche i loro partner e corrieri.

I dati sono stati protetti al momento della segnalazione

Secondo il post sul blog di Website Planet, la violazione è stata rilevata per la prima volta il 24 dicembre 2020, mentre Aljex è stata contattata dai ricercatori sei giorni dopo e da Amazon Web Services (AWS) il 2 gennaio 2021 per informarli dei loro risultati .