Τρεις ερευνητές κυβερνοασφάλειας ανακάλυψαν ότι περίπου 19 εκατομμύρια passwords σε μορφή απλού κειμένου, έχουν διαρρεύσει στο διαδίκτυο από εσφαλμένη διαμόρφωση του Firebase, μια πλατφόρμα της Google για τη φιλοξενία βάσεων δεδομένων, cloud computing και ανάπτυξη εφαρμογών.
Δείτε επίσης: 1Password: Επηρεάστηκε από την παραβίαση της Okta
Το τρίο σάρωσε πάνω από πέντε εκατομμύρια domains και εντόπισε 916 ιστότοπους από οργανισμούς, που είτε δεν είχαν ενεργοποιημένους κανόνες ασφαλείας είτε τους είχαν ρυθμίσει εσφαλμένα.
Περισσότερα από 125 εκατομμύρια ευαίσθητα αρχεία χρηστών βρέθηκαν, συμπεριλαμβανομένων email, ονομάτων, κωδικών πρόσβασης, αριθμών τηλεφώνου και πληροφοριών χρέωσης με λεπτομέρειες τραπεζικού λογαριασμού.
Οι ερευνητές (Logykk, xyzeva/Eva και MrBruh) άρχισαν να αναζητούν στο δημόσιο διαδίκτυο προσωπικά αναγνωρίσιμες πληροφορίες (PII) που εκτίθενται μέσω ευάλωτων διαμορφόσεων Firebase.
Στη συνέντευξή του στο BleepingComputer, ο Eva ανέφερε ότι ανακάλυψε περιπτώσεις Firebase που δεν είχαν καθόλου κανόνες ασφαλείας ή ήταν εσφαλμένα διαμορφωμένες επιτρέποντας ανάγνωση στις βάσεις δεδομένων και διαρροή των passwords.
Για κάθε αποκαλυφθείσα βάση δεδομένων, το σενάριο του Eva, το Catalyst, ελέγχει τον τύπο δεδομένων που είναι διαθέσιμα και εξάγει ένα δείγμα 100 εγγραφών.
Όλες οι λεπτομέρειες ήταν οργανωμένες σε μια ιδιωτική βάση δεδομένων που προσφέρει μια επισκόπηση με αριθμούς των ευαίσθητων πληροφοριών χρηστών που εκθέτουν οι εταιρείες λόγω εσφαλμένων ρυθμίσεων ασφάλειας:
- Names: 84,221,169
- Emails: 106,266,766
- Phone Numbers: 33,559,863
- Passwords: 20,185,831
- Billing Info (Bank details, invoices, etc): 27,487,924
Δείτε ακόμα: Το 1Password επεκτείνει την υποστήριξη Passkey στα mobile apps
Όσον αφορά τα passwords, το πρόβλημα επιδεινώνεται καθώς το 98% από αυτά, δηλαδή 19.867.627 για να είμαστε ακριβείς, βρίσκονται σε απλό κείμενο.
Ο ερευνητής είπε ότι οι εταιρείες πρέπει να έχουν “κάνει προσπάθεια” να αποθηκεύσουν τα passwords σε”κείμενο”, γιατί το Firebase διαθέτει ένα end-to-end identity solution, που ονομάζεται Firebase Authentication ειδικά για ασφαλείς διαδικασίες σύνδεσης που δεν αποκαλύπτουν τους κωδικούς χρηστών στα αρχεία.
Μια από τις μεθόδους για την αποκάλυψη των passwords των χρηστών σε μια βάση δεδομένων Firestore είναι η δημιουργία ενός πεδίου “password” από τον διαχειριστή που αποθηκεύει τα δεδομένα σε απλό κείμενο.
Μετά την ανάλυση των δεδομένων από τα δείγματα, οι ερευνητές προσπάθησαν να προειδοποιήσουν όλες τις επηρεασμένες εταιρείες με εσφαλμένη διαμόρφωση Firebase και έστειλαν 842 emails μέσα σε 13 ημέρες. Αν και μόνο το 1% των ιδιοκτητών απάντησε, το ένα τέταρτο των διαχειριστών ιστότοπων διόρθωσαν την λανθασμένη ρύθμιση στην πλατφόρμα του Firebase.
Δείτε επίσης: Η Proton κυκλοφορεί τον password manager Proton Pass
Οι διαρροές passwords, όπως στην περίπτωση της Firebase αποτελούν μια σημαντική απειλή για την ψηφιακή ασφάλεια, καθώς μπορούν να επιτρέψουν σε ανεπιθύμητους χρήστες να αποκτήσουν πρόσβαση σε ευαίσθητες πληροφορίες. Όταν οι κωδικοί πρόσβασης διαρρέουν, οι χάκερς μπορούν να τους χρησιμοποιήσουν για να αποκτήσουν πρόσβαση σε λογαριασμούς ηλεκτρονικού ταχυδρομείου, τραπεζικούς λογαριασμούς, προσωπικά δεδομένα και άλλες ευαίσθητες πληροφορίες. Αυτό μπορεί να οδηγήσει σε σοβαρές συνέπειες, όπως η κλοπή ταυτότητας, η απώλεια χρημάτων και η παραβίαση της ιδιωτικότητας. Επιπλέον, οι διαρροές κωδικών μπορούν να υπονομεύσουν την εμπιστοσύνη των χρηστών σε ψηφιακές υπηρεσίες και μπορεί να οδηγήσουν σε απώλεια πελατών για τις επιχειρήσεις. Για να αποφευχθούν αυτές οι συνέπειες, είναι σημαντικό να λαμβάνονται μέτρα για την προστασία των κωδικών πρόσβασης, όπως η χρήση δυνατών κωδικών, η αλλαγή των κωδικών πρόσβασης τακτικά και η χρήση διαχειριστή κωδικών πρόσβασης.
Πηγή: bleepingcomputer
