Tausende offenliegende Cloud-Datenbanken gefunden

Die Sicherheitsforscher von Check Point Research (CPR)  fanden im Laufe von drei Monaten mehr als 2100 mobile Anwendungen, die Firebase nutzten und ihren Weg zu VirusTotal fanden. Dadurch waren die Opfer ungeschützt und für Hacker leicht zugänglich. Zu den offengelegten Informationen gehören Chat-Nachrichten in beliebten Spiele-Apps, Familienfotos, Daten von Gesundheitsanwendungen, Daten von Austauschplattformen für Krypto-Währungen und vieles mehr.

Fehlkonfigurationen in Cloud-Diensten

Cloud-Fehlkonfigurationen sind kein neues Problem, aber sie betreffen derzeit Millionen von Nutzern und haben das Potenzial, Tausende von Organisationen und Unternehmen zu schädigen. Im Mai 2021 entdeckte CPR mehrere Fehlkonfigurationen in Cloud-Diensten von Drittanbietern für Android-Anwendungen, die zur Preisgabe sensibler persönlicher Daten von mehr als 100 Millionen Android-Nutzern und Entwicklern führten. Viele Schwachstellen waren das Ergebnis einer unsachgemäßen Konfiguration von Echtzeit-Datenbanken.

Fehlkonfigurationen in der Cloud sind oft die Folge mangelnden Bewusstseins, unzureichender Richtlinien und mangelnder Sicherheitsschulungen: Faktoren, die durch das neue Hybridmodell der Heimarbeit noch verstärkt werden.

“Diese Nachforschungen zeigen, wie einfach es ist, Datensätze und kritische Ressourcen zu finden, die in der Cloud für jeden zugänglich sind, der sich durch einfaches Suchen den Zugang zu ihnen verschaffen kann”, sagt Lotem Finkelsteen, Head of Threat Intelligence and Research bei Check Point Software Technologies. Die Methode besteht darin, öffentliche Datei-Repositories, wie VirusTotal, nach mobilen Anwendungen zu durchsuchen, die Cloud-Dienste nutzen. Ein Hacker kann VirusTotal nach dem vollständigen Pfad zum Cloud-Backend einer mobilen Anwendung abfragen. Alles, was wir gefunden haben, ist für jeden zugänglich. Letztlich beweisen wir mit dieser Untersuchung, wie einfach es ist, eine Datenverletzung oder einen Missbrauch zu begehen. Es ist viel einfacher, in die Daten einzudringen, als wir alle denken.”