Società leader della sicurezza su internet mette a rischio la privacy di 100mila utenti
I clienti acquistavano su internet prodotti per la sicurezza informatica da una società apprezzata da molte aziende ed enti governativi di alto profilo, peccato che era lo stesso fornitore a compromettere la sicurezza degli acquirenti, sconfessando così proprio quello che prometteva di fare.
Sono stati i ricercatori del team di vpnMentor a scoprire la paradossale violazione in cui è incappata la SSL247, azienda con sede a Londra presente in 14 mercati internazionali (Italia compresa) che si presenta come “leader in Europa per la consulenza sulla sicurezza web”, e che vanta trai clienti multinazionali come Casio, Motorola, JP Morgan, Yamaha, Siemens, ThyssenKrupp e Sega, nonché enti governativi del calibro dell’Unesco, il governo dell'Ontario (Canada), l’Università di Cambridge, ed il Dipartimento dell'agricoltura degli Stati Uniti.
Secondo quanto riferisce vpnMentor, la maldestra vulnerabiltà avrebbe potuto essere evitata adottando basilari misure di sicurezza e riguarda dei certificati SSL (Secure Sockets Layer) che servono a proteggere le comunicazioni via internet per assicurare che le informazioni sensibili fornite dagli utenti sul web (come password, dati personali e numeri di carte di credito) rimangano riservate.
Nel complesso, erano circa 465.000 i file potenzialmente accessibili da chiunque, trai quali vi erano fatture, ordini di acquisto, elenchi clienti in formato csv, ed altri documenti amministrativi, ma anche numerosi dati personali identificativi dei clienti quali nomi completi, indirizzi email, recapiti telefonici, indirizzi personali ed aziendali, e foto caricate sul profilo.
I file sono stati rinvenuti in un bucket di un cloud Amazon Web Services S3 che non era stato configurato correttamente, esponendo così file privati appartenenti all'azienda, molti di questi contenenti dati personali e informazioni dettagliate su circa 100.000 clienti che acquistavano prodotti per la sicurezza dalla SSL247 e che sono adesso esposti a potenziali rischi di frodi online e attacchi hacker.
Oltre ad aver messo a rischio i dati di migliaia di persone, le informazioni esposte sul cloud contenevano anche file relativi ad operazioni interne di natura finanziaria, attività di marketing aziendale, e tutto ciò scredita ovviamente la credibilità della SSL247 come leader del settore sulla tutela della privacy su internet.
