EY macht versehentlich SQL-Server-Backup im Internet zugänglich

Mit einem SQL-Server-Backup in der Grösse von 4 Terabyte hat Ernst & Young (EY) versehentlich Geschäftsgeheimnisse öffentlich im Internet zugänglich gemacht. Die Datei enthält Daten wie API-Schlüssel, zwischengespeicherte Authentifizierungs-Token, Sitzungstoken, Dienstkontenpasswörter, Benutzeranmeldedaten, wie "Neosecurity" berichtet. "Neosecurity" vergleicht den Fund mit dem Auffinden des Schlüssels für den Tresor mit dem Masterplan. Es habe sich dabei um ein nicht verschlüsseltes Datenbank-Backup gehandelt, heisst es weiter.

Gemäss dem leitenden Forscher von "Neosecurity" sei die Frage im Fall EY nicht, ob auf die Daten zugegriffen wurde, sondern von wie vielen. Nach dem kritischen Fund habe der Forscher via Linkedin nach dem Sicherheitsverantwortlichen von EY gesucht und auf die verfügbaren Daten hingewiesen - worauf das Unternehmen vorbildlich reagiert und den Fehler behoben habe.

Mit modernen Cloud-Plattformen sei es leicht, Fehler beim Datenexport und Backups zu machen. Mit wenigen Klicks könne man falsche Buckets wählen oder aus Versehen neue erstellen, die nicht privat eingestellt seien. Laut dem Blog sind solche Tools für Benutzerfreundlichkeit konzipiert - nicht für Cybersicherheit. Man müsse genau wissen, was man tue. Das Problem dabei: Kriminelle Hacker würden automatisierte Scanner nutzen, die nach exponierten Daten suchen. Dazu können gemäss "Neosecurity" wenige Sekunden von exponierten Daten ausreichen.

Eindrücklich an diesem Vorfall sei, dass es einem grossen Unternehmen wie EY passiert sei - trotz aller Sicherheitsmassnahmen. In modernen Clouds laufen alle Prozesse schnell und komplex ab. Automatisierte Scanner finden Lücken innert Sekunden - Attack Surface Management ist ein Muss mit dem Stand der Technik, wie "Neosecurity" schreibt.

"Fehlkonfigurierte Cloud-Speicher – etwa offene S3-Buckets oder freigegebene Snapshots – gehören weiterhin zu den häufigsten Ursachen für grossflächige Datenlecks", ordnet Gerald Beuchelt, CISO bei Acronis, den Fall ein. "Backups sollten denselben Sicherheitsstandards unterliegen wie produktive Systeme: mit strengen Zugriffskontrollen, Verschlüsselung und kontinuierlicher Überwachung. Sie dürfen niemals in öffentlichen oder gemeinsam genutzten Speicherorten abgelegt werden. Automatisierte Prüfwerkzeuge sollten regelmässig sicherstellen, dass keine Speicher- oder Datenbanksicherungen ungeschützt im Netz stehen."

Gerald Beuchelt ist der CISO von Acronis. (Source: Acronis)

Übrigens: In vielen Unternehmen wird nicht richtig auf Cyberangriffe reagiert. Das geht aus einer Umfrage von Check Point hervor. Mehr dazu können Sie hier lesen.

Wenn Sie mehr zu Cybercrime und Cybersecurity lesen möchten, melden Sie sich hier für den Newsletter von Swisscybersecurity.net an. Auf dem Portal lesen Sie täglich News über aktuelle Bedrohungen und neue Abwehrstrategien.