Έκθεση 27 Εκατομμυρίων Εγγραφών σε Παραβίαση του Microsoft Power Pages

Μια Μαζική Έκθεση που Συνδέεται με Κακώς Ρυθμισμένες Πύλες

Μια νέα έρευνα αποκάλυψε ότι χάκερ μπορεί να είχαν πρόσβαση σε έως και 27 εκατομμύρια εγγραφές από 13 οργανισμούς εκμεταλλευόμενοι εκτεθειμένες πύλες του Microsoft Power Pages και τα συνδεδεμένα δεδομένα Dataverse. Το περιστατικό, που αναφέρθηκε από το Cybernews, υπογραμμίζει πώς μια ευρέως χρησιμοποιούμενη πλατφόρμα χαμηλού κώδικα για τη δημιουργία ιστοτόπων που απευθύνονται σε πελάτες μπορεί να γίνει σοβαρή ευθύνη όταν οι έλεγχοι πρόσβασης δεν έχουν ρυθμιστεί σωστά.

Το Microsoft Power Pages επιτρέπει σε επιχειρήσεις και κυβερνητικούς φορείς να δημιουργούν γρήγορα ιστοτόπους εξωτερικής προβολής, όπως πύλες πελατών, φόρμες αιτήσεων ή πίνακες ελέγχου αυτοεξυπηρέτησης, χωρίς να γράφουν εκτενή προσαρμοσμένο κώδικα. Αυτές οι πύλες συνήθως αντλούν δεδομένα απευθείας από το Dataverse, την υποκείμενη υπηρεσία αποθήκευσης δεδομένων της Microsoft που συχνά περιέχει ευαίσθητες πληροφορίες όπως εγγραφές πελατών, αιτήσεις ή εσωτερικά επιχειρησιακά δεδομένα. Όταν τα δικαιώματα σε αυτές τις πύλες δεν είναι σωστά περιορισμένα, αυτή η σύνδεση μεταξύ ενός δημόσιου ιστοτόπου και μιας ιδιωτικής αποθήκης δεδομένων μπορεί να μετατραπεί σε ανοιχτή πόρτα.

Πώς μια Βολική Λειτουργία Γίνεται Κίνδυνος

Η ελκυστικότητα του Power Pages είναι ακριβώς αυτό που το καθιστά επικίνδυνο αν αφεθεί χωρίς έλεγχο: είναι σχεδιασμένο για ταχύτητα και προσβασιμότητα. Οι οργανισμοί μπορούν να ξεκινήσουν μια λειτουργική διαδικτυακή πύλη σε ένα κλάσμα του χρόνου που θα χρειαζόταν για να τη χτίσουν από το μηδέν, αλλά αυτή η ταχύτητα μπορεί να κοστίσει σε βάρος της διεξοδικής αναθεώρησης ασφαλείας. Εάν τα δικαιώματα πρόσβασης σε πίνακες, λίστες ή φόρμες εντός ενός ιστοτόπου Power Pages είναι ρυθμισμένα πολύ ευρέως, μη ταυτοποιημένοι επισκέπτες, ή επιτιθέμενοι που σαρώνουν για εκτεθειμένα σημεία πρόσβασης, μπορεί να είναι σε θέση να υποβάλουν ερωτήματα και να αντλήσουν δεδομένα που δεν προορίζονταν ποτέ να είναι δημόσια.

Αυτό είναι ένα γνωστό μοτίβο σε περιστατικά λογισμικού επιχειρήσεων. Οι επιτιθέμενοι δεν χρειάζεται πάντα να παραβιάσουν άμεσα ένα δίκτυο ή να εκμεταλλευτούν μια νέα ευπάθεια· μερικές φορές απλώς βρίσκουν συστήματα που δεν ήταν ποτέ σωστά ασφαλισμένα εξαρχής. Το αποτέλεσμα μπορεί να είναι εξίσου καταστροφικό με μια παραδοσιακή παραβίαση, ακόμη κι αν δεν εμπλέκεται πολύπλοκη τεχνική hacking. Η παραβίαση δεδομένων της Estée Lauder που συνδέεται με την εκμετάλλευση του Oracle EBS είναι ένα άλλο παράδειγμα του πώς ευπάθειες ή κακές ρυθμίσεις σε πλατφόρμες επιχειρήσεων, αντί για εξελιγμένες νέες επιθέσεις, μπορούν να οδηγήσουν σε μαζική έκθεση δεδομένων. Και στις δύο περιπτώσεις, το υποκείμενο λογισμικό δεν ήταν απαραίτητα ελαττωματικό, αλλά ο τρόπος που αναπτύχθηκε ή ασφαλίστηκε δημιούργησε το άνοιγμα που χρειάζονταν οι επιτιθέμενοι.

Γιατί η Κλίμακα και η Εμπιστοσύνη είναι οι Πραγματικές Ανησυχίες

Αυτό που καθιστά αξιοσημείωτη αυτή την παραβίαση του Microsoft Power Pages δεν είναι ένα μεμονωμένο δραματικό hack, αλλά η κλίμακα: 27 εκατομμύρια εγγραφές σε 13 διαφορετικούς οργανισμούς. Αυτό το εύρος υποδηλώνει ένα συστημικό ζήτημα με τον τρόπο που πολλοί οργανισμοί διαμορφώνουν τις αναπτύξεις Power Pages, αντί για ένα μεμονωμένο λάθος μιας εταιρείας. Όταν μια πλατφόρμα χρησιμοποιείται σε χιλιάδες επιχειρήσεις και κυβερνητικούς φορείς, ακόμη και ένα μέτριο ποσοστό κακώς ρυθμισμένων περιπτώσεων μπορεί να αθροιστεί σε εκατομμύρια εκτεθειμένες εγγραφές.

Για τους οργανισμούς που εμπλέκονται, αυτού του είδους η έκθεση διαβρώνει την εμπιστοσύνη που πελάτες και πολίτες τους δείχνουν όταν υποβάλλουν προσωπικές πληροφορίες μέσω επίσημων πυλών. Για τους καθημερινούς χρήστες, ο κίνδυνος αφορά λιγότερο ένα μεμονωμένο περιστατικό και περισσότερο το γεγονός ότι τα ευαίσθητα δεδομένα που υποβάλλονται μέσω φαινομενικά επίσημων καναλιών δεν είναι εγγυημένο ότι προστατεύονται απλώς επειδή βρίσκονται στην υποδομή μιας αξιόπιστης εταιρείας. Η ασφάλεια εξαρτάται σε μεγάλο βαθμό από το πόσο καλά διαμορφώνουν οι μεμονωμένοι οργανισμοί τα εργαλεία στα οποία βασίζονται, όχι μόνο από τη φήμη του παρόχου πλατφόρμας.

Τι Σημαίνει Αυτό για Εσάς

Εάν έχετε υποβάλει πληροφορίες μέσω μιας επιχειρηματικής ή κυβερνητικής πύλης που βασίζεται στο Microsoft Power Pages, επί του παρόντος δεν υπάρχει τρόπος να γνωρίζετε από έξω εάν τα συγκεκριμένα δεδομένα σας ήταν μεταξύ των εκτεθειμένων εγγραφών. Η ευθύνη για την ασφάλεια αυτών των δεδομένων βαρύνει τους οργανισμούς που λειτουργούν αυτές τις πύλες, όχι τους μεμονωμένους χρήστες. Παρόλα αυτά, αυτό το περιστατικό είναι μια καλή υπενθύμιση να παραμένετε σε επαγρύπνηση για το πώς συλλέγονται και αποθηκεύονται τα προσωπικά σας δεδομένα στο διαδίκτυο, και να παρακολουθείτε για τυχόν ειδοποιήσεις παραβίασης από υπηρεσίες που χρησιμοποιείτε.

Οι οργανισμοί που χρησιμοποιούν το Power Pages ή παρόμοιες πλατφόρμες χαμηλού κώδικα θα πρέπει να το αντιμετωπίσουν ως προειδοποίηση για να ελέγξουν τα δικαιώματα πρόσβασης, την ασφάλεια σε επίπεδο πινάκων και τις δημόσιες φόρμες τους. Μια γρήγορη αναθεώρηση του ποιος μπορεί να υποβάλει ερωτήματα σε ποια δεδομένα, και εάν ο έλεγχος ταυτότητας εφαρμόζεται σωστά, μπορεί να αποτρέψει αυτού του είδους την έκθεση πριν συμβεί.

Πρακτικά Συμπεράσματα

• Εάν έχετε αλληλεπιδράσει με μια πύλη που βασίζεται στο Microsoft Power Pages, παρακολουθείτε για ειδοποιήσεις παραβίασης από αυτόν τον οργανισμό.
• Χρησιμοποιείτε μοναδικούς κωδικούς πρόσβασης και ενεργοποιείτε τον έλεγχο ταυτότητας πολλαπλών παραγόντων όπου εμπλέκονται λογαριασμοί συνδεδεμένοι με ευαίσθητα προσωπικά δεδομένα.
• Να είστε προσεκτικοί για το πόσες προσωπικές πληροφορίες υποβάλλετε μέσω διαδικτυακών φορμών, ακόμη και αν φαίνονται επίσημες.
• Εάν διαχειρίζεστε μια ανάπτυξη Power Pages, ελέγξτε αμέσως τα δικαιώματα πινάκων, τις ρυθμίσεις ελέγχου ταυτότητας της πύλης και τους ελέγχους πρόσβασης Dataverse.

Η παραβίαση του Microsoft Power Pages είναι ένα σαφές σήμα ότι οι πλατφόρμες που καθοδηγούνται από την ευκολία χρειάζονται εξίσου αυστηρό έλεγχο ασφαλείας με τα παραδοσιακά προσαρμοσμένα συστήματα. Καθώς περισσότεροι οργανισμοί υιοθετούν εργαλεία χαμηλού κώδικα για να κινούνται ταχύτερα, η διασφάλιση της σωστής διαμόρφωσης θα είναι απαραίτητη για να διατηρηθούν ασφαλή τα δεδομένα πίσω από αυτά.