Den tysta boven bakom de flesta dataläckor

När folk föreställer sig ett dataintrång tänker de oftast på en maskerad hackare som tar sig igenom brandväggar eller använder ransomware mot ett företagsnätverk. Men enligt ny säkerhetsforskning som TechRadar lyfter fram är den största källan till exponerade personuppgifter inte alls en professionell brottsling. Det är en felkonfigurerad databas, lämnad öppen på internet av just den organisation som borde skydda den.

Omfattningen av problemet är inte ny, men den är fortfarande häpnadsväckande. Redan i slutet av 2015 upptäckte säkerhetsforskaren Chris Vickery en databas med 191 miljoner röstregistrerade personers personliga information – en 300 GB stor guldgruva som låg helt öppet tillgänglig, utan lösenord eller autentisering. Ingen gjorde inbrott. Ingen skadlig programvara var inblandad. Någon hade helt enkelt satt upp en databas utan korrekt åtkomstkontroll, och den låg där exponerad för den som visste var den skulle leta.

Den händelsen för ett decennium sedan illustrerar ett mönster som säkerhetsforskare menar aldrig riktigt försvunnit: felkonfigurerade databaser är fortfarande det främsta hotet mot datasäkerhet och överträffar ofta traditionella hackerattacker i fråga om mängden exponerade register.

Varför felkonfiguration är ett större hot än hacking

Det kan verka ologiskt att ett enkelt installationsmisstag kan exponera mer data än riktade cyberattacker, men matematiken går ihop när man förstår hur modern datainfrastruktur fungerar. Företag och myndigheter förlitar sig allt mer på molndatabaser och lagringskuber för att hantera enorma mängder information. Att sätta upp en ny databas tar minuter. Att konfigurera den korrekt, med riktig autentisering, nätverksbegränsningar och kryptering, tar längre tid och kräver mer kompetens – och det är just detta steg som ofta hoppas över eller misslyckas.

Till skillnad från ett riktat hack, som vanligtvis kräver ansträngning, teknisk skicklighet och en plan för att ta sig in i ett specifikt mål, ligger en felkonfigurerad databas ofta bara där, indexerad av sökmotorer eller skanningsverktyg och väntar på att bli upptäckt. Säkerhetsforskare, journalister och – ja – illvilliga aktörer söker rutinmässigt efter dessa öppna databaser eftersom de inte behöver kringgå några försvar. Dörren stod på vid gavel.

Detta betyder inte att traditionella intrång och ransomware-attacker inte är allvarliga hot. Händelser som Spirals ransomware-attack mot ett asiatiskt IT-företag visar att målmedvetna hotaktörer fortsätter att utsätta organisationer för utpressning genom riktade intrång. Och påståenden som den påstådda stölden av Accentures källkod av hackaren '888' visar att avsiktlig stöld av känslig företagsdata förblir ett reellt bekymmer. Men i fråga om rå volym överskuggar den tysta, oavsiktliga exponering som orsakas av en dåligt säkrad databas ofta vad en enskild hackningskampanj kan uppnå.

VPN och kryptering är inte en komplett lösning

För den som förlitar sig på en VPN-tjänst för att skydda sin aktivitet på nätet är det värt att förstå en obekväm sanning: en VPN skyddar din anslutning till internet, inte de databaser som företagen använder för att lagra din information efter att du har lämnat den ifrån dig. Om ett företag du anförtror din e-postadress, ditt telefonnummer eller dina betalningsuppgifter felkonfigurerar sina bakomliggande system kommer ingen mängd personlig kryptering från din sida att hindra att den informationen exponeras.

Det är härför intrång som involverar lagrad persondata – som de som drabbade Tribeca Film Festivals högprofilerade deltagare eller det återupptäckta Suno-intrånget som exponerade 55 miljoner e-postadresser och Stripe-data – spelar så stor roll. Dessa händelser visar att så snart dina uppgifter lämnar din enhet och hamnar i ett företags databas beror din integritet helt och hållet på den organisationens säkerhetsrutiner, inte på dina egna verktyg.

Vad detta innebär för dig

Som konsument kan du inte personligen granska databaskonfigurationerna hos varje tjänst du använder, men du kan göra mer informerade val. Välj företag som är transparenta med sina säkerhetsrutiner, som har en historik av snabb rapportering vid intrång och som använder kryptering för lagrad data, inte bara data under överföring. Fråga dig om en tjänst överhuvudtaget minimerar mängden personuppgifter den samlar in. Ju mindre känslig information ett företag lagrar, desto mindre skada kan en felkonfigurerad databas orsaka om den någonsin exponeras.

Det är också värt att komma ihåg att felkonfigurerade databaser drabbar organisationer av alla storlekar – från små nystartade företag till nationella rösträttsregister. Detta är inte ett problem begränsat till företag med begränsade säkerhetsbudgetar; det är ett systemfel som hänger samman med hur snabbt molninfrastruktur driftsätts jämfört med hur noggrant den säkras.

Konkreta åtgärder

  • Använd unika lösenord och aktivera flerfaktorsautentisering där det är möjligt, så att en enda exponerad databas inte komprometterar flera konton.
  • Håll utkik efter meddelanden om dataintrång och överväg att använda tjänster som spårar intrång för att veta när dina uppgifter har exponerats.
  • Föredra tjänster som publicerar tydliga policyer för datalagring och säkerhet, och som minimerar de personuppgifter de samlar in.
  • Kom ihåg att en VPN skyddar din trafik, inte de databaser som lagrar dina sparade uppgifter; dataskydd kräver en flernivåstrategi.

Felkonfigurerade databaser kommer sannolikt att förbli den främsta orsaken till storskalig dataläckage under överskådlig framtid, helt enkelt för att molnets utbredning hela tiden går snabbare än noggrann konfiguration. Att hålla sig informerad om hur och var dina uppgifter lagras, och att kräva ansvar från de tjänster du använder, förblir ett av de mest praktiska sätten att minska din personliga risk.