19,6 miljarder filer exponerade i 535 000 öppna molnlagringshinkar
En ny rapport från Mysterium VPN har satt en häpnadsväckande siffra på ett problem som säkerhetsforskare har varnat för i åratal: 19,6 miljarder filer ligger öppet tillgängliga på internet just nu, lagrade i fler än 535 000 felkonfigurerade molnlagringshinkar som varken kräver lösenord, autentisering eller hackerkunskap för att komma åt. Bland dessa filer finns nästan 700 000 inloggnings- och nyckelfiler som skulle kunna ge en angripare direkt åtkomst till aktiva system, databaser och intern infrastruktur.
Detta är ingen intrång i traditionell mening. Ingen behövde utnyttja en sårbarhet eller avlyssna nätverkstrafik. Datan är helt enkelt öppen, en följd av molnlagringskonfigurationer som ställts in felaktigt och sedan lämnats så.
Exponeringens omfattning: 19,6 miljarder filer, noll lösenord
Den rena mängden exponerad data är svår att sätta i perspektiv. Med 19,6 miljarder filer spridda över mer än en halv miljon lagringshinkar rör det sig om ett av de största dokumenterade fallen av exponering genom felkonfigurerad molnlagring som någonsin katalogiserats. Dessa hinkar finns på molnplattformar där organisationer av alla storlekar, från ensamutvecklare till storföretag, lagrar applikationsdata, säkerhetskopior, loggar och känsliga register.
Felkonfigurerad molnlagring är inget nytt problem, men den omfattning som rapporteras här antyder att det är långt ifrån löst. Standardinställningar, stressade driftsättningar och kunskapsluckor inom molnsäkerhet bidrar alla till att hinkar lämnas offentligt läsbara. I många fall kan de ansvariga organisationerna vara helt ovetande om att deras data är exponerad.
Detta speglar mönster från andra uppmärksammade incidenter. En felkonfigurerad analysdashboard hos FTF Live lämnade nyligen över 22 miljoner videochatt-sessionsposter öppet tillgängliga, vilket illustrerar hur ett enda infrastrukturförbiseende kan exponera känslig data i massiv skala utan att något aktivt angrepp äger rum.
Varför inloggnings- och nyckelfiler är den farligaste läckan
Av de 19,6 miljarder exponerade filerna utgör de nästan 700 000 inloggnings- och nyckelfilerna den kategori med högst risk, med bred marginal. Dessa filer innehåller ofta API-nycklar, databaslösenord, privata kryptonycklar, SSH-inloggningsuppgifter och åtkomsttoken för molnleverantörer.
När en angripare hittar en inloggningsfil i en öppen hink behöver de inte göra något tekniskt sofistikerat härnäst. De kan ta dessa inloggningsuppgifter och autentisera sig direkt mot de system de skyddar. Det kan innebära läs- och skrivåtkomst till en produktionsdatabas, möjligheten att starta molninfrastruktur på någon annans konto, eller inträde i interna system som annars skulle vara helt otillgängliga.
Databasdumpar utgör en separat men lika allvarlig risk. Dessa filer innehåller ofta användarposter, hashade lösenord eller lösenord i klartext, personlig information och transaktionsdata. En databasdump från en vårdgivare, en finansiell plattform eller en e-handelssajt kan innehålla allt en angripare behöver för identitetsstöld, kontokapning eller utpressning.
Hur felkonfigurationer i molnet kringgår även VPN-skyddade nätverk
En av de mer kontraintuitiva aspekterna av denna typ av exponering är att den kringgår många av de säkerhetskontroller som organisationer förlitar sig på. VPN, brandväggar och nätverksåtkomstkontroller är utformade för att skydda trafik som rör sig mellan system. Men när data lagras i en offentlig molnhink färdas den inte alls genom dessa skyddade nätverk. Den ligger på en plats som alla med en internetanslutning kan nå.
Detta innebär att en angripare i ett annat land, utan tillgång till ett företagsnätverk och utan möjlighet att kringgå en brandvägg, ändå kan hämta innehållet i en exponerad hink genom att navigera direkt till dess publika webbadress. Datan existerar i praktiken utanför den perimeter som de flesta organisatoriska säkerhetsverktyg är utformade för att försvara.
Det är därför exponering av felkonfigurerad molnlagring har blivit en av de mest effektiva vägarna för datafångst av hotaktörer. Det finns inget angrepp att upptäcka, ingen ovanlig trafik att flagga för och inget intrång att utreda. Ur infrastrukturens perspektiv ser någon som läser från en öppen hink identisk ut med rutintrafik.
Vad organisationer och individer kan göra nu
För organisationer som hanterar molnlagring är det mest brådskande steget en åtkomsträttighetsgranskning. Varje lagringshink bör ses över för att bekräfta att den inte är inställd på offentlig åtkomst, såvida det inte finns en avsiktlig, dokumenterad anledning till det. Stora molnleverantörer som AWS, Google Cloud och Azure erbjuder alla verktyg för att identifiera hinkar med alltför tillåtande åtkomstkontroller, och vissa tillhandahåller nu även kontoövergripande inställningar för att blockera all offentlig åtkomst som standard.
Utöver åtkomsträttigheter spelar hanteringen av inloggningsuppgifter en enorm roll. Inloggnings- och nyckelfiler bör aldrig under några omständigheter lagras i molnlagringshinkar. Verktyg för hemlighetshantering finns specifikt för att hantera API-nycklar, tokens och inloggningsuppgifter på ett säkert sätt och hålla dem helt borta från filsystemet.
För individer handlar risken mindre om vad du kontrollerar och mer om vad de organisationer som innehar din data kontrollerar. De praktiska åtgärderna är välkända: använd unika, starka lösenord för varje konto så att en inloggningsdump från en tjänst inte låser upp andra, aktivera flerfaktorsautentisering där det erbjuds och övervaka konton för ovanlig aktivitet.
Mysterium VPN:s resultat är en påminnelse om att några av de mest betydande datasäkerhetsriskerna inte alls involverar sofistikerade angrepp. De rör sig om alldagliga administrativa förbiseenden som förblir okontrollerade i månader eller år. Att granska molnlagringshygienen är inget glamoröst arbete, men i den omfattning denna rapport beskriver är det ett av de mest konsekvensrika säkerhetsarbeten en organisation kan utföra just nu.
