Den stille skurken bak mest dataeksponering

Når folk ser for seg et datainnbrudd, ser de som oftest for seg en hettekledd hacker som bryter gjennom brannmurer eller utplasserer løsepengevirus mot et bedriftsnettverk. Men ifølge fersk sikkerhetsforskning omtalt av TechRadar, er den største kilden til eksponerte personopplysninger slett ingen sofistikert kriminell. Det er en feilkonfigurert database, etterlatt åpen på internett av nettopp den organisasjonen som skulle beskytte den.

Omfanget av dette problemet er ikke nytt, men det er fortsatt svimlende. Tilbake i slutten av 2015 oppdaget sikkerhetsforskeren Chris Vickery en database med 191 millioner velgeres personopplysninger – en 300 GB stor skattekiste som lå offentlig tilgjengelig uten passord eller autentisering. Ingen brøt seg inn. Ingen skadevare var involvert. Noen satte bare opp en database uten tilstrekkelig tilgangskontroll, og den ble liggende eksponert for alle som visste hvor de skulle lete.

Denne hendelsen fra et tiår tilbake illustrerer et mønster som sikkerhetsforskere sier aldri har forsvunnet: Feilkonfigurerte databaser forblir den ledende trusselen mot datasikkerhet, og overgår ofte tradisjonelle hackinghendelser når det gjelder det rene volumet av eksponerte opplysninger.

Hvorfor feilkonfigurasjon slår hacking som trussel

Det kan virke motstridende at en enkel oppsettfeil kan eksponere mer data enn målrettede cyberangrep, men regnestykket gir mening når du forstår hvordan moderne datainfrastruktur fungerer. Bedrifter og offentlige etater baserer seg i stadig større grad på skydatabaser og lagringsbøtter for å håndtere enorme mengder informasjon. Å opprette en ny database tar minutter. Å konfigurere den riktig – med autentisering, nettverksbegrensninger og kryptering – tar mer tid og krever kompetanse, og det er dette trinnet som ofte hoppes over eller gjøres feil.

I motsetning til et målrettet hack, som vanligvis krever innsats, teknisk dyktighet og en plan for å bryte seg inn hos et konkret mål, ligger en feilkonfigurert database ofte bare der, indeksert av søkemotorer eller skanneverktøy og venter på å bli snublet over. Sikkerhetsforskere, journalister og, ja, ondsinnede aktører søker rutinemessig etter slike åpne databaser fordi de ikke trenger å omgå noen forsvarsmurer. Døren stod på vidt gap.

Dette betyr ikke at tradisjonelle innbrudd og løsepengeangrep ikke er alvorlige trusler. Hendelser som Spirals løsepengeangrep mot et asiatisk IT-selskap viser at målbevisste trusselaktører fortsetter å presse organisasjoner gjennom målrettede inntrengninger. Og påstander som det påståtte tyveriet av Accentures kildekode utført av hackeren ‘888’ demonstrerer at bevisst tyveri av sensitiv bedriftsdata fortsatt er en aktuell bekymring. Men målt i rent volum overskygger den stille, utilsiktede eksponeringen som skyldes en dårlig sikret database ofte det et enkelt hacking-kampanje kan oppnå.

VPN og kryptering er ikke en fullstendig løsning

Lesere som støtter seg på en VPN for å beskytte sin nettaktivitet, bør forstå en ubehagelig sannhet: En VPN beskytter tilkoblingen din til internett, ikke databasene som selskaper bruker til å lagre informasjonen din etter at du har gitt den fra deg. Om et selskap du stoler på med e-postadressen din, telefonnummeret eller betalingsdetaljene dine feilkonfigurerer baksystemene sine, vil ingen mengde personlig kryptering på din side hindre at dataene blir eksponert.

Dette er hvorfor brudd som involverer lagrede persondata, som hendelsene som rammet Tribeca Film Festivals høyprofilerte deltakere eller det gjenoppståtte Suno-bruddet som eksponerte 55 millioner e-poster og Stripe-data, betyr så mye. Disse hendelsene viser at i det øyeblikket dataene dine forlater enheten din og havner i et selskaps database, avhenger personvernet ditt utelukkende av denne organisasjonens sikkerhetspraksis – ikke av dine egne verktøy.

Hva dette betyr for deg

Som forbruker kan du ikke personlig revidere databasekonfigurasjonene til hver tjeneste du bruker, men du kan ta mer informerte valg. Se etter selskaper som er åpne om sikkerhetspraksisen sin, som har en historikk med rask bruddvarsling, og som bruker kryptering av lagrede data, ikke bare data under overføring. Spør om en tjeneste begrenser personopplysningene de samler inn i utgangspunktet. Jo mindre sensitiv informasjon et selskap lagrer, desto mindre skade kan en feilkonfigurert database forårsake hvis den noen gang blir eksponert.

Det er også verdt å huske at feilkonfigurerte databaser rammer organisasjoner av alle størrelser, fra små oppstartsselskaper til nasjonale velgerdatabaser. Dette er ikke et problem som er begrenset til selskaper med svake sikkerhetsbudsjetter; det er et systemisk problem knyttet til hvor raskt skyinfrastruktur blir tatt i bruk, kontra hvor nøye den blir sikret.

Praktiske råd

  • Bruk unike passord og aktiver flerfaktorautentisering overalt der det er mulig, slik at én enkelt eksponert database ikke kompromitterer flere kontoer.
  • Følg med på bruddvarsler og vurder å bruke bruddsporingstjenester for å vite når dataene dine har blitt eksponert.
  • Foretrekk tjenester som offentliggjør tydelige retningslinjer for datalagring og sikkerhet, og som minimerer personopplysningene de samler inn.
  • Husk at en VPN beskytter trafikken din, ikke databasene som inneholder den lagrede informasjonen din; databeskyttelse krever en lagdelt tilnærming.

Feilkonfigurerte databaser vil trolig forbli den ledende årsaken til store dataleksponeringer i overskuelig fremtid, ganske enkelt fordi tempoet i skyadopsjonen stadig løper fra grundig konfigurasjon. Å holde seg informert om hvordan og hvor dataene dine lagres, og å kreve ansvarlighet fra tjenestene du bruker, er fortsatt en av de mest praktiske måtene å redusere din personlige risiko på.