Совет национальной безопасности (NSC), некоммерческая организация, обслуживающая тысячи предприятий, в том числе высокопоставленные организации и правительственные учреждения, хранил конфиденциальную информацию о клиентах в веб-каталогах для публичного доступа.
Ошибка была обнаружена исследователями кибер новостиисследователи которого заявили, что база данных была незащищена в течение как минимум пяти месяцев.
NSC работает в Соединенных Штатах и обеспечивает обучение технике безопасности на рабочем месте и безопасности водителей. По данным исследователей, в организации насчитывается около 55 000 членов, в том числе 2 000 организаций. В число этих организаций входят Siemens, Intel, HP, IBM, AMD, Ford, Toyota, Tesla и множество других. Они также обслуживали правительственные организации, включая ФБР, Пентагон, Министерство юстиции, НАСА и многие другие.
Возможные жертвы программ-вымогателей
Всего в базе данных было размещено почти 10 000 электронных писем и паролей. Cybernews понимает, что у компаний, вероятно, были учетные записи на платформе для доступа к учебным материалам или посещения различных мероприятий, организованных НСК.
Хотя в отчете конкретно не указывается, что данные были украдены злонамеренными третьими лицами, исследователи все же указывают на такую возможность. Они утверждают, что учетные данные могут быть использованы в атаках с подтасовкой учетных данных, фишинге и т. д. Эти атаки затем приведут к еще более разрушительным сценариям, таким как кража данных, программы-вымогатели и тому подобное.
Поскольку открытие было сделано, NPC устранил проблему, она была добавлена.
«Общедоступная среда разработки демонстрирует плохие методы разработки», — заявили исследователи в своей статье. «Такие среды должны размещаться отдельно от домена производственной среды и не должны содержать никаких фактических пользовательских данных, и, конечно же, они не должны быть общедоступными».
Утечка информации включала пароли пользователей, хешированные с использованием SHA-512 — алгоритма, который считается безопасным. Пароли также были добавлены, но поскольку соли хранились вместе с хешами паролей и кодировались только с использованием base64, получение текстовой версии соли было бы «тривиальной» задачей для любого опытного хакера, сообщает Cybernews.
«Взлом одного пароля, найденного в базе данных, может занять до шести часов», — заключили исследователи. «Это не означает, что каждый найденный пароль в базе данных может быть взломан, но вполне вероятно, что значительная часть из них может быть взломана».
