Hanyag volt az Azure-ügyfél, elszórt pár ezer felhasználói adatot a felhőből

A cloud biztonságos, a cloud a barátunk – ezt sulykolja minden olyan cég, amely bármilyen felhő alapú megoldással foglalkozik. És a tétel tulajdonképpen igaz is, de csak akkor, ha minden érintett fél maximálisan odafigyel a biztonság alapvető lépéseire. Nemrég egy appfejlesztő megkérdőjelezhető biztonsági gyakorlatának köszönhetően több mint félmillió bizalmas dokumentum szivárgott ki az interneten. Az anyagokat egy védtelen Microsoft Azure Blob tárólóban tartották, ahol mindenfajta ellenőrzés nélkül bárki láthatta őket, aki ismerte a fájlok közvetlen címét.

Az Azure Blob a Microsoft Azure különállóan is használható szolgáltatása, amely lehetővé teszi, hogy nagy tömegű, struktúrálatlan adatot tároljunk a redmondi vállalat felhős platformján. A mostani esetben érintett, védelem nélküli blobot, amely az e-mailetől kezdve a leveleken és a táblázatokon át a mentésekig és a képernyőfotókig összesen 587 000 különböző fájlt tartalmazott, a Probase kezelte.

Ez a fajta tárolási mód, amikor az ügyfelek fájljait különálló tárolók helyett egyetlen adatsilóba ömlesztik, mindenféle biztonsági alapszabálynek ellent mond. A kényes dokumentumok között voltak munkaegészégügyi értelékések, céges biztosítási igények, jogi irodák szakmai értékelései, a FexEx szállítmánybiztosítási dokumentációi, érzékeny orvosi adatok és legalább egy útlevél szkennelt másolata is.

A Probase igazgatója, Paul Brown nem adott választ arra a kérdésre, hogy mióta volt védtelen a blog, csak annyit mondott, hogy szorosan együttműködnek a hatóságokkal a helyzet tisztázása érdekében. Nem az első példa a Microsort Azure blob tárolójával kapcsolatos adatszivárgásra, bár a mostani esetért elsősorban a Probase felel. Az eset tanulsága az ügyféloldalon egyelőre az, hogy ömlesztettben legfeljebb a sajt lehet jó, az adattárolást inkább okos struktúrák kialakításával, és persze a megfelelő védelemmel érdemes elvégezni.