Yine bir başka kazara veri ihlali durumunda, oturum açma kimlik bilgileri 540,000 araç takip cihazı firmasına ait kayıtlar SVR İzleme hizmeti nedeniyle internete sızdı yanlış yapılandırılmış bulut sunucusu, hizmetini kullanan sürücülerin ve işletmelerin kişisel verilerini ve araç ayrıntılarını potansiyel olarak açığa çıkarmak.
“Araç kurtarma” konusunda uzman olduğunu iddia eden SVR (Çalıntı Araç Kayıtları) Takibi, müşterilerinin araçlarına gizli bir yerde fiziksel bir takip cihazı bağlayarak araçlarını gerçek zamanlı olarak takip etmelerini sağlar, böylece onları takip edebilir ve kurtarabilirler. araçlarının çalınması durumunda.
İhlali ilk keşfeden Kromtech Güvenlik Merkezi'ndeki araştırmacılara göre, ifşa edilen veriler, e-posta kimlikleri, şifreler, araç verileri (VIN numaraları ve plakalar gibi), GPS cihazlarının IMEI numaraları ve diğer verileri içeren SVR kullanıcılarının hesap bilgilerini içeriyordu. cihazlarında, müşterilerinde ve otomobil bayilerinde toplanır. Veriler bir aracılığıyla ifşa edildi genel kullanıma açık bırakılan güvenli olmayan Amazon Web Sunucusu (AWS) S3 bulut depolama alanı.
İlginç bir şekilde, açıkta kalan veri tabanı, izleme ünitesinin tam olarak arabanın içinde nerede saklandığını da içeriyordu. Araştırmacılar vurguladı sızdırılmış parolalar, zayıf SHA-1 karma algoritması tarafından korunuyordu bunu kırmak kolaydı.
Kromtech'e göre, "birçok satıcının veya müşterinin izleme için çok sayıda cihazı olduğu gerçeği göz önüne alındığında, açığa çıkan toplam cihaz sayısı çok daha fazla olabilir."
"Suç ve teknolojinin el ele gittiği bir çağda, siber suçluların bir arabanın nerede olduğunu çevrimiçi olarak herkese açık olan kimlik bilgileriyle giriş yaparak ve o arabayı çalarak öğrenebilecekleri olası tehlikeyi hayal edin. Kromtech araştırmacısı Bob Diachenko bir blogda, "Bayilerin veya müşterilerin çoğunun izleme için çok sayıda cihazı olduğu gerçeği göz önüne alındığında, toplam cihaz sayısı çok daha fazla olabilir" dedi.
Amazon S3 paketi, Kromtech SVR'ye ulaşıp onları ihlal konusunda uyardıktan sonra güvence altına alındı. Bununla birlikte, verilerin ne kadar süreyle serbestçe açığa çıktığı hala belirsizliğini koruyor. Ayrıca, herkesin erişebileceği verilere bilgisayar korsanları tarafından erişilip erişilmediği de belirsizdir.
