Den stille synder bag de fleste datalækager

Når folk forestiller sig et databrud, tænker de som regel på en hætteklædt hacker, der bryder gennem firewalls eller implementerer ransomware mod et virksomhedsnetværk. Men ifølge nyere sikkerhedsforskning fremhævet af TechRadar, er den største kilde til eksponerede personoplysninger slet ikke en sofistikeret kriminel. Det er en fejlkonfigureret database, der står åben på internettet, efterladt af selve den organisation, der burde beskytte den.

Omfanget af dette problem er ikke nyt, men det er stadig overvældende. Tilbage i slutningen af 2015 opdagede sikkerhedsforsker Chris Vickery en database med personlige oplysninger om 191 millioner vælgere – en dataskat på 300 GB, der var offentligt tilgængelig uden kodeord eller autentificering. Ingen brød ind. Ingen malware var involveret. Nogen satte blot en database op uden ordentlige adgangskontroller, og den lå eksponeret for enhver, der vidste, hvor de skulle lede.

Den episode for et årti siden illustrerer et mønster, som sikkerhedsforskere siger aldrig rigtig er forsvundet: fejlkonfigurerede databaser er fortsat den største trussel mod datasikkerhed og overgår ofte traditionelle hackinghændelser i ren mængde af eksponerede data.

Hvorfor fejlkonfiguration overgår hacking som trussel

Det kan virke kontraintuitivt, at en simpel opsætningsfejl kan eksponere flere data end bevidste cyberangreb, men matematikken giver mening, når man forstår, hvordan moderne datainfrastruktur fungerer. Virksomheder og offentlige myndigheder bruger i stigende grad cloud-databaser og storage-buckets til at administrere enorme mængder information. Det tager få minutter at oprette en ny database. At konfigurere den korrekt med autentificering, netværksbegrænsninger og kryptering tager mere tid og ekspertise, og det er netop dette trin, der ofte springes over eller udføres forkert.

I modsætning til et målrettet hack, som normalt kræver indsats, tekniske færdigheder og en plan for at trænge ind i et bestemt mål, er en fejlkonfigureret database ofte bare derude, indekseret af søgemaskiner eller scanningsværktøjer, klar til at blive fundet ved et tilfælde. Sikkerhedsforskere, journalister og, ja, ondsindede aktører søger rutinemæssigt efter disse åbne databaser, fordi de ikke behøver at omgå nogen forsvar. Døren stod på vid gab.

Det betyder ikke, at traditionelle brud og ransomwareangreb ikke er alvorlige trusler. Hændelser som Spirals ransomwareangreb på et asiatisk it-firma viser, at beslutsomme trusselsaktører fortsat afpresser organisationer gennem målrettede indtrængninger. Og påstande som den påståede kildekodetyveri fra Accenture begået af hackeren '888' viser, at bevidst tyveri af følsomme virksomhedsdata fortsat er en aktiv bekymring. Men i rå volumen overskygger den stille, utilsigtede eksponering fra en dårligt sikret database ofte, hvad en enkelt hackingkampagne kan opnå.

VPN'er og kryptering er ikke en fuldstændig løsning

For læsere, der bruger en VPN til at beskytte deres onlineaktivitet, er det værd at forstå en hård sandhed: en VPN beskytter din forbindelse til internettet, ikke de databaser, som virksomheder bruger til at gemme dine oplysninger, efter du har givet dem fra dig. Hvis en virksomhed, du betror din e-mailadresse, dit telefonnummer eller dine betalingsoplysninger, fejlkonfigurerer sine backend-systemer, kan ingen mængde personlig kryptering på din side forhindre, at de data bliver eksponeret.

Det er derfor, brud, der involverer gemte personoplysninger, som hændelserne, der påvirkede højtprofilerede deltagere på Tribeca Film Festival eller det genopdukkede Suno-brud, der afslører 55 mio. e-mails og Stripe-data, betyder så meget. Disse hændelser viser, at når dine data først forlader din enhed og går ind i en virksomheds database, afhænger dit privatliv helt af den pågældende organisations sikkerhedspraksis, ikke dine egne værktøjer.

Hvad dette betyder for dig

Som forbruger kan du ikke personligt revidere databasekonfigurationerne for hver eneste tjeneste, du bruger, men du kan træffe mere informerede valg. Søg efter virksomheder, der er gennemsigtige omkring deres sikkerhedspraksis, som har en historik med hurtig brudoplysning, og som bruger kryptering af data i hvile, ikke kun data under overførsel. Spørg, om en tjeneste minimerer de personoplysninger, den overhovedet indsamler. Jo mindre følsom information en virksomhed opbevarer, jo mindre skade kan en fejlkonfigureret database forårsage, hvis den nogensinde bliver eksponeret.

Det er også værd at huske, at fejlkonfigurerede databaser påvirker organisationer i alle størrelser, fra små startups til nationale vælgerdatabaser. Dette er ikke et problem, der er begrænset til virksomheder med svage sikkerhedsbudgetter; det er et systemisk problem, der hænger sammen med, hvor hurtigt cloudinfrastruktur bliver implementeret i forhold til, hvor omhyggeligt den bliver sikret.

Praktiske råd

  • Brug unikke adgangskoder og aktivér multifaktorautentificering overalt, hvor det er muligt, så en enkelt eksponeret database ikke kompromitterer flere konti.
  • Overvåg notifikationer om databrud og overvej at bruge brudsporingstjenester for at vide, hvornår dine data er blevet eksponeret.
  • Foretræk tjenester, der offentliggør klare politikker for dataopbevaring og -sikkerhed, og som minimerer de personoplysninger, de indsamler.
  • Husk, at en VPN beskytter din trafik, ikke de databaser, der opbevarer dine gemte oplysninger; databeskyttelse kræver en lagdelt tilgang.

Fejlkonfigurerede databaser vil sandsynligvis forblive den førende årsag til storstilet dataeksponering i den overskuelige fremtid, simpelthen fordi hastigheden af cloud-adoption fortsætter med at overhale omhyggelig konfiguration. At holde sig informeret om, hvordan og hvor dine data opbevares, og at kræve ansvarlighed fra de tjenester, du bruger, er stadig en af de mest praktiske måder at reducere din personlige risiko på.