- Из корзины Amazon S3 стекают конфиденциальные скриншоты удаленных работников
- Корзина принадлежит WebWork Tracker.
- Утечка ставит под угрозу данные и учетные данные компании
Из хранилища, связанного с приложением WebWork Tracker, произошла утечка конфиденциальной информации и данных компании в Интернет, при этом, как сообщается, было взломано более 13 миллионов снимков экрана.
Программное обеспечение WebWork Tracker используется организациями для мониторинга удаленных работников путем регулярного создания снимков экрана рабочих, чтобы показать работодателю, над чем они работают.
Однако корзина Amazon S3, в которой хранились снимки экрана, была неправильно настроена и не имела сквозного шифрования, которое, по словам армянской компании, она использует для безопасного хранения конфиденциальных снимков экрана.
Данные компании, учетные данные и ключи API под угрозой
Ведро было обнаружено Киберньюс исследовательская группа 11 июня. Начиная с 13 августа, команда неоднократно обращалась к команде WebWork Tracker, чтобы предупредить организацию об утечке, но не получила ответа.
Как результат, Киберньюс уведомил Группу реагирования на компьютерные чрезвычайные ситуации (CERT).
Программное обеспечение для отслеживания удаленных работников используется рядом предприятий в США, в том числе компанией Deel, занимающейся удаленным наймом сотрудников, которая находится в США. Cybernews также обнаружил множество других компаний в Австрии, Нидерландах и Индии, которые также использовали это программное обеспечение.
В результате утечки файлов вполне возможно, что компания нарушила Общий регламент ЕС по защите данных (GDPR) и Калифорнийский закон о конфиденциальности потребителей (CCPA). Штрафы GDPR могут составлять 20 миллионов евро или 4% от глобального дохода, в зависимости от того, что больше, при этом штрафы CCPA достигают 2500 долларов США за непреднамеренное нарушение.
Отредактированные скриншоты из базы данных, предоставленной пользователем Киберньюс показывать электронные таблицы, содержащие учетные данные и конфиденциальную информацию о клиентах, что делает утекшую базу данных главной мишенью для злоумышленников, желающих использовать атаки в цепочке поставок для компрометации организаций.