מידע אישי של מיליוני משתמשים ברחבי העולם – כמו פרטי אשראי ותעודות זהות – היה חשוף להאקרים • בין האתרים שנפגעו: בוקינג, אגודה ואקספדיה • הזמנתם מהאתרים האלה ב-7 השנים האחרונות? זה מה שאתם צריכים לדעת
חברת אבטחת המידע Website Planet חשפה כי יותר מ-10 מיליון קבצים עם פרטיים אישיים של משתמשים אוחסנו על שרת שהיה חשוף להאקרים במשך 7 שנים. המידע הכיל, בין היתר, שמות מלאים, כתובות מייל, מספרי תעודות זהות, מספרי טלפון ומספרי כרטיסי אשראי, כולל קוד CVV ותוקף הכרטיס.
מדובר בפרצה שהשפיעה על אתרי הזמנת המלונות הגדולים בעולם – בהם בוקינג (Booking), אגודה, אקספדיה (Expedia) והוטלס.קום. הבעיה היא בפלטפורמת להזמנת בתי מלון בשם Prestige Software אשר משמשת את אותם אתרים מוכרים ונתפסה כי היא מאחסנת את המידע בשרתים שאינם מאובטחים.
על פי הפרסום, Prestige Software אחסנה את הקבצים ב-Amazon Web Services – שירותי האחסון הענן של אמזון. סך הכל מדובר בקבצים במשקל 24.4 גיגה-בייט שנאספו מאז 2013 עד לחודשים האחרונים, מה שאומר שהרים של מידע היו חשופים. ב-Website Planet מציינים כי כל אתר שעבד עם מערכת הניהול של Prestige Software נפגע.
"העבירו את המידע לשרת בענן"
"החברה רכשה שרת מחברת אמזון ובו היא החזיקה היסטוריה של הזמנות אשר שומרת התוכנה שלהם, המותקנת אצל לקוחותיהם – בתי המלון. מכיוון שהשרת אותו קנו מחברת אמזון לא עבר מבדק אבטחת מידע, נותר ערוץ פתוח לאינטרנט המאפשר צפייה במידע בהינתן תוכנת סריקה היודעת לתקשר עם אותו ערוץ", מסביר עידו נאור מנכ"ל חברת Security Joes בשיחה עם "ישראל היום".
"מכיוון שהערוץ שכיח מאוד בקרב מומחי אבטחת מידע וישנן תוכנות פשוטות לתקשורת עם אותו ערוץ – מצאו חוקרים את השרת הפתוח לאינטרנט ושלפו את המידע. ליתר דיוק, 10 מיליון רשומות מידע, קרי הזמנות בבתי מלון, החל מ-2013 ועד היום", מוסיף נאור. "מה שנראה הוא שהם העבירו מהתוכנה (בטח לא בידיעת הלקוחות שלהם) את כרטיסי האשראי והפרטים שרשומים בכתבה לאיזה שרת בענן שהם – ככל הנראה – לא הגדירו אותו להיות חסום לאינטרנט וככה הוא בעצם נותר חשוף לכל מבקש".
בחברת אבטח המידע צ'ק פוינט ציינו כי עד כה לא ידוע על האקרים שניצלו את המידע החשוף לרעה, אם כי לא ניתן לשלול זאת. "המעבר המהיר של חברות רבות לעבודה מרחוק הביא לשימוש מוגבר בשירותי ענן במטרה לאפשר גישה גם מהבית למאגרי המידע ומשאבי החברה. אולם, ללא אמצעי אבטחה ראויים, מידע רגיש עלול להיות חשוף לאינטרנט – ובסופו של יום לפגוע בציבור לקוחות החברה", הסביר לוטם פינקלשטיין, מנהל מחלקת מודיעין סייבר."כאשר עושים שימוש שירותי ענן לטובת אכסון של מידע, בייחוד של מידע רגיש, יש צורך במומחי אבטחת וענן כדי להבטיח שהגישה אליו תתבצע ממקורות מורשים בלבד. במקרה הזה, כמו במקרים רבים מאוד אחרים, המידע לא אובטח כלל, והיה נגיש לכל מי שרצה בכך", הוסיף פינקלשטיין.
לכתבה המלאה היכנסו לאתר ישראל היום: https://www.israelhayom.co.il/article/817923
