รัฐบาลสหรัฐฯเผย รายละเอียดการเดินทางทางทหารรั่วไหลสู่สาธารณะ

ข้อมูลสำคัญจำนวนมากเกี่ยวกับบุคลากรทางทหารของรัฐบาลสหรัฐฯ ซึ่งในขณะนี้อาจ เกิดข้อมูลรั่วไหลไปสู่สาธารณะ

นักวิจัยด้านความปลอดภัยชาวอิสราเอล Noam Rotem และ Ran Locar ค้นพบข้อมูล 179 GB บนเซิร์ฟเวอร์ AWS ที่ไม่มีหลักประกันเรียกใช้ - พวกเขาเชื่อ - โดย บริษัท ให้บริการด้านการท่องเที่ยว

ฐานข้อมูลนี้เชื่อว่าเป็นของ AutoClerk ซึ่งเป็นระบบจัดการการจองที่ได้รับจาก Best Western Hotels and Resorts Group และเปิดเผยรายละเอียดส่วนบุคคลที่ละเอียดอ่อนของผู้คนหลายพันคนรวมถึงการจองโรงแรมและการเดินทาง

ข้อมูลที่เปิดเผยโดยที่ฝากข้อมูลเว็บที่ไม่มีความปลอดภัยซึ่งทุกคนสามารถเข้าถึงได้โดยไม่ต้องใช้รหัสผ่านใด ๆ รวมอยู่ด้วย:

• ชื่อ นามสกุล
• วันเกิด
• ที่อยู่
• หมายเลขโทรศัพท์
• วันที่ และค่าใช้จ่ายในการเดินทาง
• รายละเอียดบัตรเครดิต

ในบางกรณีข้อมูลยังรวมถึงบันทึกสำหรับนายพลกองทัพสหรัฐฯที่เดินทางไปยังจุดหมายปลายทาง เช่น มอสโกและเทลอาวีฟรวมถึงหมายเลขห้องพักของโรงแรมและเวลาเช็คอิน

นักวิจัยยังทราบด้วยว่าพวกเขาสามารถดู “ข้อมูลรับรองการเข้าสู่ระบบที่ไม่ได้เข้ารหัสจำนวนมากเพื่อเข้าถึงบัญชีในระบบเพิ่มเติมภายนอกฐานข้อมูล” ซึ่งเป็นการเปิดโอกาสให้ระบบการจองโรงแรมและที่พักอื่นๆ เสี่ยงต่อการถูกแฮก

ในบล็อกโพสต์ของประกาศการค้นพบของนักวิจัย VPNMentor อธิบายเหตุการณ์ที่เกิดขึ้นว่า“ การละเมิดความปลอดภัยสำหรับหน่วยงานภาครัฐและหน่วยงานที่ได้รับผลกระทบ”

นักวิจัยอธิบายว่ามันสามารถเข้าถึงข้อมูลที่สำคัญได้อย่างไร:

“ใครก็ตามที่เป็นเจ้าของฐานข้อมูลที่จะใช้ฐานข้อมูล Elasticsearch ซึ่งโดยปกติแล้วจะไม่ได้ออกแบบมาสำหรับการใช้ URL อย่างไรก็ตามเราสามารถเข้าถึงได้ผ่านเบราว์เซอร์และจัดการเกณฑ์การค้นหา URL เพื่อเปิดเผยสกีมาจากดัชนีเดียวได้ตลอดเวลา”

ไม่แน่ใจว่าเป็นฐานข้อมูลของใคร แม้ว่าจะสงสัยว่ามันเป็น AutoClerk แต่นักวิจัยได้ติดต่อทีมคอมพิวเตอร์เตรียมพร้อมฉุกเฉินแห่งสหรัฐอเมริกา (CERT) โดยไม่ประสบความสำเร็จ ในที่สุดมันก็เป็นเพียงหลังจากยื่นมือไปที่สถานทูตสหรัฐในเทลอาวีฟและติดต่อกับกระทรวงกลาโหมที่กระทรวงกลาโหมที่กระทรวงกลาโหมในที่สุดก็ปิดฐานข้อมูลที่ไม่มีหลักประกันในที่สุด - สัปดาห์หลังจากการค้นพบครั้งแรก

สิ่งที่น่าผิดหวังอย่างยิ่งคือการรั่วไหลของข้อมูลเช่นนี้ง่ายต่อการป้องกัน ชุดข้อมูลที่เปิดเผยต่อสาธารณะอย่างมากจากเว็บเซิร์ฟเวอร์ที่ไม่มีหลักประกัน - บางส่วนแม้ก่อนหน้านี้จากผู้รับเหมาป้องกัน - สามารถหลีกเลี่ยงได้หากเจ้าของฐานข้อมูลได้กำหนดค่าความปลอดภัยของพวกเขาอย่างถูกต้อง