Tietoturvatutkija kertoo löytäneensä suojaamattoman pilvitallennusjärjestelmän, joka sisälsi vuosien Hollywood-markkinointitiedostoja, mukaan lukien varmuuskopiokansion, jossa on tähtien, kuten Angelina Jolien, henkilökohtaisia yhteystietoja. Löytö, jonka tekijäksi ilmoitetaan tutkija Jeremiah Fowler, osoittaa, kuinka yksi väärin määritetty palvelin voi hiljaisesti paljastaa arkaluonteisia tietoja vuosien ajan ennen kuin kukaan huomaa.

Mitä Hollywoodin tietovuodosta löytyi

Raportin mukaan Fowler löysi kolme paljastunutta pilvitietokantaa, jotka sisälsivät tietueita vuosilta 2019–2026. Suurin osa materiaalista koostui tavanomaisista markkinointiaineistoista: lehdistötiedotteista, promootiodokumenteista ja muusta pr-sisällöstä, jota viihdeyritykset yleensä tallentavat ja jakavat sisäisesti. Sinänsä tällainen data ei ole erityisen arkaluonteista.

Ongelma ilmeni yhdessä näistä kolmesta tietokannasta, joka sisälsi varmuuskopiotiedoston, jossa oli 'contacts'-niminen kansio. Tuon kansion kerrottiin sisältävän Hollywood-henkilöihin liittyviä henkilötietoja, ja Angelina Jolien mainittiin olevan yksi kohteista. Kyseessä ei näytä olevan kohdistettu hyökkäys, vaan altistuminen johtuu todennäköisesti inhimillisestä virheestä – pilvitallennusjärjestelmästä, jota ei koskaan kunnolla lukittu todennuksella tai pääsynhallinnalla.

Tämä on tärkeä ero. Toisin kuin aiemmat korkean profiilin studiohakkerointitapaukset, joissa hyökkääjät murtautuivat tarkoituksella järjestelmiin varastaakseen ja vuotaakseen sähköposteja, tämä tapaus vaikuttaa enemmän siltä, että tiedot jäivät vahingossa avoimeksi. Kuka tahansa, joka tiesi mistä etsiä tai törmäsi niihin etsiessään paljastuneita palvelimia, olisi voinut päästä niihin käsiksi ennen kuin ne turvattiin.

Miksi yhteystiedoilla on suurempi merkitys kuin miltä näyttää

On houkuttelevaa ajatella vuotaneita yhteystietoja vähäpätöisenä ongelmana verrattuna varastettuihin taloustietoihin tai lääketieteellisiin tietoihin. Mutta julkisuuden henkilöille paljastuneet yhteystiedot voivat avata oven vakavampiin ongelmiin: ei-toivottuihin yhteydenottoihin, henkilöllisyyden varastamisen yrityksiin, huijausviesteihin, jotka näyttävät tulevan luotetuilta alan kontakteilta, tai jopa fyysisen turvallisuuden riskeihin, jos kotiosoitteita tai henkilökohtaisia puhelinnumeroita on mukana.

On myös syytä ymmärtää ero vuodon sisällön ja siihen liittyvien metatietojen välillä. Yhteystietokansio sisältää suoria henkilötietoja: nimiä, numeroita, sähköposteja ja mahdollisesti osoitteita. Mutta jopa näennäisesti harmittomat metatiedot, kuten milloin tiedosto on luotu, kuka sitä on käyttänyt tai miten tietueet on järjestetty, voivat paljastaa malleja ihmissuhteista, liiketoimista tai viestintätottumuksista. Tässä tapauksessa paljastuneen tietokannan rakenne – vuosien tietueet ja erillinen yhteystietokansio – kertoo oman tarinansa siitä, miten huolettomasti arkaluonteista tietoa voi päätyä tallennetuksi tavallisten markkinointitiedostojen joukkoon.

Tuttu kaava: pilven virheellinen määritys

Tämä tapaus sopii kaavaan, jota tietoturvatutkijat nostavat toistuvasti esiin: organisaatiot tallentavat valtavia määriä dataa pilvijärjestelmiin ilman riittäviä suojatoimia. Se ei vaadi kehittynyttä hyökkääjää tai haittaohjelmia. Ainoa mitä tarvitaan, on julkinen pääsy tietokantaan – johtuipa se sitten unohtuneesta asetuksesta, vanhentuneesta tietoturvatarkastuksesta tai huolimattomuudesta migraation tai varmuuskopioinnin aikana.

Erityisesti viihdeala käsittelee jatkuvaa arkaluonteisen materiaalin virtaa – julkaisemattomista käsikirjoituksista lahjakkuuksien yhteystietoluetteloihin – usein useiden toimittajien, agentuurien ja markkinointikumppaneiden kautta. Jokainen uusi osapuoli, joka käsittelee tätä dataa, lisää mahdollisuuksia virheellisiin määrityksiin tai unohtamiseen.

Mitä tämä tarkoittaa sinulle

Useimmat lukijat eivät ole Hollywood-tähtiä, mutta perusopetus koskee laajasti kaikkia. Mikä tahansa organisaatio, jonka kanssa asioit – kuntosalista lääkärin vastaanottoon ja markkinointitoimistoon – saattaa tallentaa yhteystietosi jonnekin pilveen. Yleensä sinulla ei ole mahdollisuutta nähdä, kuinka hyvin tuo järjestelmä on turvattu.

Mitä voit hallita, on oma reagointisi, kun tällaiset tapaukset tulevat ilmi. Jos yritys, jonka kanssa olet asioinut, mainitaan tietovuodossa, tarkkaile tietojenkalasteluviestejä, joissa viitataan vuodosta peräisin oleviin aitoihin yksityiskohtiin, sillä huijarit käyttävät usein paljastuneita tietoja tehdäkseen huijausviesteistä uskottavia. Ole varovainen odottamattomien yhteydenottojen suhteen, joissa viitataan henkilökohtaisiin tietoihin, joita et odottanut lähettäjän tietävän.

Käytännön opit

Jos haluat vähentää omaa altistumistasi tällaisissa tapauksissa, harkitse muutamaa toimea. Rajoita, kuinka paljon henkilökohtaisia yhteystietoja jaat yrityksille, jotka eivät niitä ehdottomasti tarvitse. Käytä mahdollisuuksien mukaan eri palveluille erillisiä sähköpostiosoitteita tai puhelinnumeroita, jotta voit jäljittää, mikä yritys on saattanut vuotaa tietosi. Ota käyttöön kaksivaiheinen todennus tileillä, jotka liittyvät ensisijaisiin yhteystietoihisi, ja pysy valppaana tietojenkalasteluviestien varalta, joissa viitataan tunnettuun tietovuotoon.

Tämä Hollywoodin tietovuoto on muistutus siitä, että jopa korkean profiilin asiakkaiden kanssa työskentelevät organisaatiot voivat jättää perustason pilviturvallisuuspuutteita korjaamatta. Kun yhä enemmän henkilökohtaisia tietojamme siirtyy pilvipohjaisiin järjestelmiin, tämänkaltaisia tapauksia nousee todennäköisesti jatkossakin esiin, minkä vuoksi on hyvä pysyä ajan tasalla siitä, miten tietojasi tallennetaan ja kuka on vastuussa niiden suojaamisesta.