Hatalmas adatszivárgás rosszul konfigurált portálok miatt

Egy új vizsgálat feltárta, hogy hackerek akár 27 millió rekordhoz is hozzáférhettek 13 szervezet adatai közül, kihasználva a Microsoft Power Pages-portálok és a hozzájuk kapcsolt Dataverse-adatok védtelenségét. Az incidensről, amelyről a Cybernews számolt be, rávilágít arra, hogy egy széles körben használt, alacsony kódigényű platform ügyfélkapcsolati weboldalak építésére komoly kockázati forrássá válhat, ha a hozzáférés-vezérlést nem megfelelően konfigurálják.

A Microsoft Power Pages lehetővé teszi a vállalkozások és kormányzati szervek számára, hogy gyorsan hozzanak létre külső weboldalakat, például ügyfélportálokat, jelentkezési űrlapokat vagy önkiszolgáló irányítópultokat, anélkül hogy kiterjedt egyedi kódot kellene írniuk. Ezek a portálok jellemzően közvetlenül a Dataverse-ből húznak adatokat, amely a Microsoft mögöttes adattároló szolgáltatása, és gyakran érzékeny információkat tartalmaz, például ügyféladatokat, jelentkezéseket vagy belső üzleti adatokat. Ha a portálok engedélyeit nem megfelelően zárják be, a nyilvános weboldal és a privát adattár közötti kapcsolat nyitott ajtóvá válhat.

Hogyan válik egy kényelmi funkció kockázattá

A Power Pages vonzereje pontosan az, ami kockázatossá teszi, ha felügyelet nélkül marad: gyorsaságra és hozzáférhetőségre tervezték. A szervezetek a hagyományos fejlesztéshez képest töredék idő alatt indíthatnak működő webportált, de ez a gyorsaság a biztonsági felülvizsgálat rovására mehet. Ha a Power Pages-webhelyeken belüli táblák, listák vagy űrlapok hozzáférési engedélyei túl széles körűek, akkor hitelesítés nélküli látogatók, vagy a kitett végpontokat kereső támadók lekérdezhetik és kiolvashatják azokat az adatokat, amelyek soha nem voltak nyilvánosnak szánva.

Ez a vállalati szoftverekkel kapcsolatos incidensek jól ismert mintája. A támadóknak nem mindig kell közvetlenül hálózatot feltörniük vagy új sebezhetőséget kihasználniuk; néha csak olyan rendszereket találnak, amelyeket eleve sosem zártak le megfelelően. Az eredmény ugyanolyan káros lehet, mint egy hagyományos adatszivárgás, még akkor is, ha nem volt szó bonyolult hackelési technikáról. A Estée Lauder adatszivárgás, amely az Oracle EBS kihasználásához kapcsolódik szintén arra példa, hogy a vállalati platformok sebezhetőségei vagy hibás konfigurációi – nem pedig kifinomult, új támadások – nagy volumenű adatkitettséghez vezethetnek. Mindkét esetben a mögöttes szoftver nem feltétlenül volt elromolva, hanem a telepítés vagy a védelem módja teremtette meg a támadók számára a rést.

Miért a méret és a bizalom a valódi aggodalom

Ami ezt a Microsoft Power Pages-incidenst figyelemre méltóvá teszi, az nem egyetlen drámai hack, hanem a méret: 27 millió rekord 13 különböző szervezetnél. Ez a szélesség rendszerszintű problémára utal abban, hogy sok szervezet hogyan konfigurálja Power Pages-telepítéseit, nem pedig egy vállalat elszigetelt hibájára. Ha egy platformot több ezer vállalkozás és kormányzati szerv használ, akkor még a hibásan konfigurált példányok kis százaléka is milliónyi kitett rekordot jelenthet.

Az érintett szervezetek számára az ilyen jellegű adatkitettség aláássa azt a bizalmat, amelyet az ügyfelek és állampolgárok beléjük vetnek, amikor hivatalos portálokon keresztül személyes adatokat adnak meg. Az átlagos felhasználók számára a kockázat kevésbé egyetlen incidensről szól, hanem arról a tényről, hogy a hivatalosnak tűnő csatornákon keresztül benyújtott érzékeny adatok nem garantáltan védettek pusztán azért, mert egy jó hírű vállalat infrastruktúráján tárolják őket. A biztonság nagyban függ attól, hogy az egyes szervezetek milyen jól konfigurálják az általuk használt eszközöket, nem csak a platformszolgáltató hírnevétől.

Mit jelent ez Önnek

Ha Ön a Microsoft Power Pages-re épülő üzleti vagy kormányzati portálon keresztül adott meg adatokat, jelenleg nincs mód arra, hogy kívülről megtudja, hogy az Ön konkrét adatai a kitett rekordok között voltak-e. Az adatok védelméért az ezeket a portálokat üzemeltető szervezetek felelnek, nem az egyes felhasználók. Ennek ellenére ez az incidens jó emlékeztető arra, hogy legyen éber azzal kapcsolatban, hogyan gyűjtik és tárolják személyes adatait az online térben, és figyeljen az Ön által használt szolgáltatások adatszivárgásról szóló értesítéseire.

A Power Pages vagy hasonló alacsony kódigényű platformokat használó szervezeteknek ébresztőként kell kezelniük ezt, és auditálniuk kell hozzáférési engedélyeiket, táblaszintű biztonsági beállításaikat és nyilvános űrlapjaikat. Annak gyors áttekintése, hogy ki milyen adatokat kérdezhet le, és hogy az azonosítás megfelelően érvényesül-e, megelőzheti az ilyen jellegű adatkitettséget.

Gyakorlati tanulságok

  • Ha Ön a Microsoft Power Pages-re épülő portállal lépett kapcsolatba, figyeljen az adott szervezet adatszivárgásról szóló értesítéseire.
  • Használjon egyedi jelszavakat, és kapcsolja be a többtényezős hitelesítést minden olyan fióknál, amely érzékeny személyes adatokhoz kapcsolódik.
  • Legyen körültekintő azzal kapcsolatban, hogy mennyi személyes adatot ad meg online űrlapokon, még akkor is, ha azok hivatalosnak tűnnek.
  • Ha Power Pages-telepítést kezel, haladéktalanul vizsgálja felül a táblaengedélyeket, a portál-hitelesítési beállításokat és a Dataverse hozzáférés-vezérlését.

A Microsoft Power Pages-incidens egyértelmű jelzés arra, hogy a kényelmi szempontból vezérelt platformoknak ugyanolyan alapos biztonsági ellenőrzésre van szükségük, mint a hagyományos, egyedileg fejlesztett rendszereknek. Ahogy egyre több szervezet tér át alacsony kódigényű eszközökre a gyorsabb működés érdekében, a megfelelő konfiguráció biztosítása elengedhetetlen lesz a mögöttük lévő adatok védelméhez.