El equipo de UpGuard Cyber Risk, del 11 de octubre de 2018, descubrió que el equipo de CyGuard de UpGuard tenía acceso público a un compartimiento mal configurado de Amazon S3 que contenía 73 Gigabytes de datos del proveedor de servicios de internet Pocket iNet
Después de haberse topado inicialmente con el depósito de Amazon S3, Upguard notificó a Pocket iNet el mismo día sobre el incidente a través de los canales de contacto por correo electrónico y teléfono.
Pocket iNet confirmó inicialmente la fuga de datos y logró corregir la exposición de la información siete días después de la divulgación inicial.
Como lo descubrió UpGuard, el grupo de S3 expuesto contenía una gran cantidad de información confidencial de las claves secretas de AWS de los empleados de Pocket iNet y las contraseñas de texto sin formato a los detalles de configuración y las listas de inventario, así como la diagramación interna de la red.
Las contraseñas de texto simple filtradas se utilizaron como credenciales para una serie de servicios y dispositivos, como servidores, cortafuegos, puntos de acceso inalámbrico, enrutadores centrales y conmutadores.
Además, dado que la mayoría de los nombres de usuario combinados con las contraseñas de texto sin formato eran "admin" o "root", un actor malintencionado que obtendría acceso a esta información habría obtenido acceso completo a varios componentes de infraestructura de red de Pocket iNet.
Los hallazgos de UpGuard muestran que la infraestructura crítica como los ISP son tan susceptibles a las fugas de datos accidentales como los usuarios domésticos
La información de configuración de red filtrada de Pocket iNet cuando se combinó con las credenciales de texto sin formato podría haber permitido a los atacantes obtener el control completo de toda la infraestructura del ISP con poco o ningún esfuerzo.
Además, la base de datos filtrada también contenía fotografías del equipo Pocket iNet, incluidos el cableado, los enrutadores y las torres, que los atacantes podrían utilizar para obtener información sobre la infraestructura de red interna de Pocket iNet.
Aunque el grupo S3 llamado "pinapp2" expuso mucha información confidencial, afortunadamente solo se pudo acceder a la carpeta "técnica", lo que plantea la pregunta de qué otros datos se habrían comprometido si todo el grupo fuera descargable.
"El almacenamiento mal configurado de Amazon S3 es responsable de muchas exposiciones de datos no intencionales a gran escala", dice UpGuard en su informe. "Aunque los depósitos de datos son privados de forma predeterminada, los cambios accidentales o mal informados en la lista de control de acceso (ACL) del depósito pueden hacer que el contenido sea visible en Internet en general simplemente navegando a la URL del depósito".
Fecha actualización el 2021-10-24. Fecha publicación el 2018-10-24. Categoría: amazon Autor: Oscar olg Mapa del sitio Fuente: softpedia