DigitalOcean, поставщик облачных решений, уведомил своих клиентов об утечке данных, которая раскрыла платежные данные их клиентов. Похоже, что в обращении находятся две версии электронных писем от DigitalOcean.
Одно из этих писем было разбито на:
- Проблема
- Что случилось, и
- Что мы сделали
В чем проблема?
Вот скриншот одного из писем, и я подробно опишу его в этом отчете.
Вторая версия электронного письма от компании показывает, что ссылка на DigitalOceanдокумент от 2018 года, принадлежащий им, был по ошибке выложен в сеть, что раскрыло их данные.
Хотя утечка была непреднамеренной, документ содержал персональные данные клиентов (PII), в том числе:
- Имя, которое клиенты использовали при регистрации
- Их адрес электронной почты
- Использование полосы пропускания
- Количество капель
- Заметки, которыми они могли обмениваться с отделом продаж и поддержки
- Сколько они заплатили в 2018 году
По оценкам DigitalOcean, недостаток был исправлен.
Компания заметила эту проблему 26 апреля 2021 года.
Прежде чем удалить документ, группа безопасности исследовала публичную ссылку, по которой документ был опубликован, и обнаружила, что кто-то воспользовался уязвимостью. А в период с 9 по 22 апреля 2021 года к нему обращались 15 раз.
DigitalOceanответ
DigitalOcean признали ошибку своей и заявили, что они несут за нее ответственность. В письме пояснялось, что DigitalOceanСообщество основано на доверии, и чтобы гарантировать, что подобная ошибка не повторится в будущем, они предпримут следующие действия:
- Разработать новые процедуры, которые будут своевременно предупреждать их о потенциальных угрозах.
- Обучать своих сотрудников защите данных клиентов и
- Внесите изменения в конфигурацию, чтобы предотвратить раскрытие информации в будущем.
Однако они уверяют клиентов, что утечка никак не повлияла на их капли или другие системы, которые они используют на DigitalOcean платформа. И они обещают оставаться прозрачными и сообщать клиентам, если их данные используются способами, не соответствующими ценностям компании.
Они также призывают клиентов сообщать о своих опасениях или вопросах, отвечая на полученные ими электронные письма об угрозе.
Должны ли вы быть обеспокоены?
В раскрытом документе также содержалась следующая платежная информация:
- Последние четыре цифры платежной карты
- Банк-эмитент карты и
- Срок действия карты истек
Хотя, DigitalOcean настаивает на том, что доступ к аккаунтам клиентов на платформе не осуществлялся, и взлом не затронул их токены.
Что касается гиганта облачной инфраструктуры, они уведомили органы по защите данных и устранили уязвимость. Но явная уязвимость, которая раскрыла платежные данные клиентов, до сих пор не ясна.
Тайлер Хили, DigitalOceanначальник службы безопасности, сказал нарушение затронуло один процент платежного профиля клиентов. Однако TechCrunch сообщил, что он не ответил на конкретные вопросы, например, как они обнаружили уязвимость и какие органы власти они проинформировали.
Некоторые из DigitalOceans клиенты еще не получили ни одного из этих писем от компании. Так что либо процесс отправки продолжается, либо они отправляют письма только одному проценту, пострадавшему от утечки.
Заключение
Никто не знает, почему неавторизованный пользователь получил доступ к документу столько раз. И не ясно, делали ли они копии документа. Но я уверен, что вы не хотите это выяснять, прежде чем предпримете необходимые шаги.
Если вы планируете рассмотреть варианты хостинга с DigitalOceanзацени это обзор и производительность аналитика здесь. Вы также можете использовать это бесплатный контрольный список для упрощения поиска.
