- كشفت EY عن نسخة احتياطية سعة 4 تيرابايت من SQL عبر الإنترنت تحتوي على بيانات اعتماد حساسة وأسرار التطبيق
- حذرت شركة Neo Security شركة EY؛ ويشتبه الباحثون في أن الجهات التهديدية ربما تكون قد وصلت بالفعل إلى البيانات
- استجابت EY بشكل احترافي ولكنها استغرقت أسبوعًا لمعالجة المشكلة بالكامل
احتفظت شركة Ernst & Young (EY)، إحدى أكبر شركات المحاسبة في العالم، بنسخة احتياطية كاملة لقاعدة البيانات على شبكة الإنترنت العامة، وهي متاحة لأي شخص يعرف أين يبحث. كان حجم النسخة الاحتياطية، وهي ملف .BAK، 4 تيرابايت، وتحتوي على معلومات حساسة مثل المخطط والبيانات والإجراءات المخزنة و”كل سر مخزن في تلك الجداول”.
هذا وفقًا لباحث أمني في Neo Security، الذي كان يقوم “بعمل أدوات منخفض المستوى” عندما لفت انتباهه ملف SQL Server BAK.
لم يقم الباحث بتنزيل قاعدة البيانات بأكملها (لأن ذلك سيكون بمثابة جناية)، لكنه يدعي أن هذه الملفات تحتوي عادةً على “مفاتيح واجهة برمجة التطبيقات، والرموز المميزة للجلسة، وبيانات اعتماد المستخدم، ورموز المصادقة المخزنة مؤقتًا، وكلمات مرور حساب الخدمة. أيًا كان التطبيق المخزن في قاعدة البيانات. وليس سرًا واحدًا فقط… كل الأسرار”.
استجابة “الكتاب المدرسي المثالي”.
وأوضح الباحثون أن التداعيات ربما كانت هائلة. كان ملف BAK واحد، الذي تم الكشف عنه لبضع دقائق فقط، كافيًا لاختراق الشركة وإصابتها ببرامج الفدية.
وحذروا من أن “العثور على نسخة احتياطية بسعة 4 تيرابايت من SQL ومعرضة للإنترنت العام يشبه العثور على المخطط الرئيسي والمفاتيح المادية للقبو، وأنت جالس هناك. مع ملاحظة تقول “مجانًا لمنزل جيد”.”
وبمجرد تأكيد شكوكهم، تواصل الباحثون مع EY لتحذيرهم بشأن النتائج. لم يعرفوا المدة التي ظلت فيها قاعدة البيانات مفتوحة، وقالوا إن كل باحث مسؤول يجب أن يفترض أنه بحلول ذلك الوقت، كان العديد من الجهات الفاعلة في مجال التهديد قد سرقتها بالفعل.
ومع ذلك، فقد أشادوا بشركة EY لاستجابتها، قائلين إن فريق تكنولوجيا المعلومات بالشركة كان “مثاليًا للكتاب المدرسي”.
“تقدير احترافي. لا دفاعية ولا تهديدات قانونية. فقط: “شكرًا لك. نحن على ذلك.”
ومع ذلك، فقد استغرق الأمر من EY أسبوعًا كاملاً لفرز المشكلة ومعالجتها بالكامل – وهو وقت طويل لمشكلة تكون كل ثانية فيها مهمة.
عبر السجل
أفضل برامج مكافحة الفيروسات لجميع الميزانيات
اتبع TechRadar على أخبار جوجل و أضفنا كمصدر مفضل للحصول على أخبار الخبراء والمراجعات والآراء في خلاصاتك. تأكد من النقر على زر المتابعة!
وبالطبع يمكنك أيضًا اتبع TechRadar على TikTok للحصول على الأخبار والمراجعات وفتح الصناديق في شكل فيديو، والحصول على تحديثات منتظمة منا على واتساب أيضاً.
التعليقات