Исследовательская группа Cybernews обнаружила, что нидерландская компания-разработчик ПО для шифрования ENC Security 1,5 года сливала свои файлы конфигурации и сертификаты. Компания заявила, что проблема возникла из-за неправильной конфигурации стороннего поставщика, который уже исправил ее сразу после получения уведомления.
“Данные, которые просачивались около 1,5 лет, – это золотая жила для злоумышленников”, – сказал исследователь Cybernews Мартинас Варейкис.
Утекшие данные включали:
- учетные данные Simple Mail Transfer Protocol (SMTP) для каналов продаж;
- ключи Adyen единой платежной платформы;
- API-ключи Mailchimp компании почтового маркетинга;
- API-ключи платежей;
- коды аутентификации сообщений HMAC;
- ключи и сертификаты, хранящиеся в формате “.pem”.
Данные были доступны с 27 мая 2021 года по 9 ноября 2022 года. Сервер был закрыт после того, как Cybernews сообщил об уязвимости в ENC Security.
По словам Варейкиса, утечка информации вызывает беспокойство, поскольку злоумышленники могут использовать эти данные для различных кибератак – от фишинга до вымогательских атак.
Например, каналы продаж могут использоваться для фишинга клиентов путем отправки им поддельных счетов-фактур или распространения вредоносного ПО через доверенные адреса электронной почты.
API-Ключи Mailchimp позволяют с настоящей электронной почты компании создавать массовые маркетинговые рассылки и “собирать” потенциальных клиентов.
А файлы “.pem” (формат файла для хранения и отправки криптографических ключей и сертификатов) могут открыть доступ к серверу или даже привести к захвату сервера. А API-ключи платежей могут раскрыть конфиденциальную информацию о клиенте.
USB-ключи Sony, Lexar, Sandisk и другие устройства хранения поставляются с программой для шифрования данных, разработанной компанией ENC Security. Нидерландская компания с 12 млн. пользователей по всему миру предлагает решения “защиты данных военного уровня” с помощью своего популярного ПО для шифрования DataVault. ECN Security сообщает, что ее продукт загружается более 2000 раз в месяц.