Tabiq adatszivárgás - egymillió vendég érintett

A Tabiq nevű japán hotel check-in rendszerben több mint egymillió vendég útlevele, jogosítványa és arcfelismeréshez használt szelfije vált elérhetővé az interneten egy nyilvánossá tett felhőtárhely miatt. A friss beszámolók szerint az adatok jelszó nélkül megtekinthetők voltak, és a hozzáférést csak a bucket neve alapján lehetett elérni.

Mi történt

A rendszer a japán Reqrea startuphoz tartozik, és több szállodában használják vendégazonosításra. A kiszivárgás egy Amazon-felhőben tárolt tárhely rossz beállításából adódott, amelyet véletlenül publikusra állítottak.

Az érintett anyagok között útlevélmásolatok, vezetői engedélyek és arcfelismeréshez beküldött szelfik szerepeltek. Ezek az iratok név-, cím-, születési dátum-, okmány- és fényképadatokat is tartalmazhatnak, ezért a kockázat különösen magas.

Miért súlyos

Az ilyen típusú adat nem puszta kapcsolattartási információ. Személyazonosság-lopásra, csalásra és célzott megtévesztésre is használható, főleg ha az okmánymásolatokhoz arckép is társul.

A jelentések szerint a fájlok egészen 2020 elejéig visszanyúlóan is tartalmaztak dokumentumokat, és nem egyértelmű, hogy mennyi ideig voltak nyitva, illetve történt-e illetéktelen hozzáférés a lezárás előtt.

A hivatalos reakció

A szolgáltató a sajtóértesülések szerint a figyelmeztetés után lezárta a tárhelyet. A cég azt közölte, hogy vizsgálatot indított, és külső jogi tanácsadók segítségével méri fel a teljes kitettség mértékét.

A beszámolók alapján a cég azt sem tudta azonnal megmondani, hogyan vált publikusra a tárhely. Ez arra utal, hogy inkább konfigurációs hiba, mint kifinomult támadás történt.

Mit jelent az érintetteknek

Az érintett vendégek számára ez okmányszintű adatvédelmi incidensnek számít. A legnagyobb veszélyt az jelenti, hogy az útlevél- és jogosítványadatokkal hitelesnek tűnő csalások, hamis ügyfélazonosítás vagy későbbi visszaélés indulhat.

A szállásadóknak és üzemeltetőknek érdemes külön figyelniük a felhőtárhelyek jogosultságaira, az érzékeny dokumentumok titkosítására, valamint arra, hogy a check-in rendszerek ne maradjanak alapértelmezetten nyilvánosak. Az eset jól mutatja, hogy egyetlen hibás beállítás is tömeges incidenssé válhat.

Röviden

A történet lényege egyszerű: a Tabiq rendszerben tárolt, érzékeny személyazonosító dokumentumok egy publikus Amazon-tárhely miatt kerültek ki az internetre. A károkozás fő forrása a rossz felhőkonfiguráció volt, nem egy bonyolult áttörés.