Μαζική διαρροή τραπεζικών εγγράφων στην Ινδία
Μια διαρροή δεδομένων από μη ασφαλισμένο cloud server αποκάλυψε εκατοντάδες χιλιάδες ευαίσθητα έγγραφα τραπεζικών μεταφορών στην Ινδία, φέρνοντας στο φως αριθμούς λογαριασμών, ποσά συναλλαγών και στοιχεία επικοινωνίας ατόμων.
Ανακάλυψη από ερευνητές κυβερνοασφάλειας
Ερευνητές της εταιρείας κυβερνοασφάλειας UpGuard εντόπισαν στα τέλη Αυγούστου έναν δημόσια προσβάσιμο server αποθήκευσης που φιλοξενούνταν από την Amazon, ο οποίος περιείχε 273.000 έγγραφα PDF σχετικά με τραπεζικές μεταφορές πελατών στην Ινδία.
Περιεχόμενο των εκτεθειμένων αρχείων
Τα αρχεία που διέρρευσαν περιλάμβαναν συμπληρωμένες φόρμες συναλλαγών που προορίζονταν για επεξεργασία μέσω του National Automated Clearing House ή NACH, ενός κεντρικού συστήματος που χρησιμοποιούν οι τράπεζες στην Ινδία για τη διευκόλυνση μαζικών επαναλαμβανόμενων συναλλαγών, όπως μισθοδοσίες, αποπληρωμές δανείων και πληρωμές λογαριασμών κοινής ωφέλειας.
Σύνδεση με πολλές τράπεζες και ιδρύματα
Σύμφωνα με τους ερευνητές, τα δεδομένα συνδέονταν με τουλάχιστον 38 διαφορετικές τράπεζες και χρηματοπιστωτικά ιδρύματα, όπως ανέφεραν στο TechCrunch.
Αιτίες και ευθύνες για τη διαρροή
Δεν είναι σαφές γιατί τα δεδομένα παρέμειναν δημόσια προσβάσιμα στο διαδίκτυο, αν και τέτοιου είδους παραλείψεις ασφαλείας συχνά οφείλονται σε λανθασμένες ρυθμίσεις ή ανθρώπινο λάθος. Παραμένει ασαφές ποιος προκάλεσε τη διαρροή, ποιος την εξασφάλισε και ποιος έχει την ευθύνη να ενημερώσει όσους επηρεάστηκαν.
Εξασφάλιση των δεδομένων χωρίς ανάληψη ευθύνης
Σε ανάρτηση στο blog της, η UpGuard ανέφερε ότι από δείγμα 55.000 εγγράφων, πάνω από τα μισά ανέφεραν το όνομα της Aye Finance, η οποία είχε καταθέσει αίτηση για IPO ύψους $171 εκατομμυρίων ⇾ πέρυσι. Η κρατική State Bank of India ήταν η επόμενη συχνότερα εμφανιζόμενη τράπεζα στα δείγματα, σύμφωνα με τους ερευνητές.
Ενέργειες μετά την ανακάλυψη
Μετά τον εντοπισμό των εκτεθειμένων δεδομένων, οι ερευνητές της UpGuard ειδοποίησαν την Aye Finance μέσω των εταιρικών, εξυπηρέτησης πελατών και διευθύνσεων παραπόνων. Ενημέρωσαν επίσης την National Payments Corporation of India, ή NPCI, που διαχειρίζεται το NACH.
Καθυστέρηση στην απόσυρση των αρχείων
Μέχρι τις αρχές Σεπτεμβρίου, οι ερευνητές διαπίστωσαν ότι τα δεδομένα παρέμεναν εκτεθειμένα και ότι καθημερινά προστίθενταν χιλιάδες νέα αρχεία στον server.
Τελική διασφάλιση και άρνηση ευθυνών
Η UpGuard ενημέρωσε στη συνέχεια την ομάδα αντιμετώπισης έκτακτων περιστατικών πληροφορικής της Ινδίας, CERT-In. Λίγο αργότερα, τα δεδομένα διασφαλίστηκαν, όπως ανέφεραν οι ερευνητές στο TechCrunch. Ωστόσο, κανείς δεν φαίνεται να αναλαμβάνει την ευθύνη για το περιστατικό.
Δηλώσεις και απουσία απαντήσεων
Όταν ζητήθηκε σχόλιο, ο εκπρόσωπος της NPCI, Ankur Dahiya, δήλωσε στο TechCrunch ότι τα εκτεθειμένα δεδομένα δεν προέρχονται από τα συστήματα της NPCI.
«Έλεγχος και ανασκόπηση επιβεβαίωσαν ότι δεν έχουν εκτεθεί ή παραβιαστεί δεδομένα που σχετίζονται με πληροφορίες ή αρχεία εντολών NACH από τα συστήματα της NPCI», ανέφερε σε email προς το TechCrunch.
Ο συνιδρυτής και CEO της Aye Finance, Sanjay Sharma, δεν απάντησε σε αίτημα για σχόλιο από το TechCrunch. Το ίδιο συνέβη και με την State Bank of India.
[ Πηγή: TechCrunch ]