TechCrunch berichtete am 16. Juli 2021, dass das kalifornische Insurance-Tech-Startup BackNine einen falsch konfigurierten Amazon-Speicher-Bucket hatte, der jedem Zugriff auf seine 711.000 Dateien ermöglichte. BackNine entwickelt Backoffice-Software für Versicherer, die Lebens- und Berufsunfähigkeitsversicherungen verkaufen, und bietet ein White-Label-Angebotsformular an. Die Dateien umfassten ausgefüllte Anträge mit Namen, Adressen, Telefonnummern, Sozialversicherungsnummern, Diagnosen, Medikamenten, Gesundheitsfragebögen sowie Labor- und Testergebnissen wie Blutuntersuchungen und Elektrokardiogrammen, außerdem Bilder von Unterschriften. Keine der Daten war verschlüsselt.
Die Dokumente stammten aus den Jahren 2015 bis zum Monat des Berichts. Der Sicherheitsforscher Bob Diachenko schrieb dem Unternehmen Anfang Juni eine E-Mail, erhielt eine erste Antwort, hörte danach nichts mehr und der Bucket blieb offen. TechCrunch kontaktierte auch BackNines Vizepräsidenten Reid Tattersall und wurde ignoriert. Innerhalb von Minuten, nachdem TechCrunch den Namen des Buckets allein Tattersall genannt hatte, wurden die Daten gesperrt.
Viele der Anträge betrafen große Versicherer, darunter AIG, TransAmerica, John Hancock, Lincoln Financial Group und Prudential, die sich nicht äußerten. BackNine beantwortete nicht die Frage, ob es die Behörden nach den einzelstaatlichen Meldegesetzen für Datenschutzverletzungen benachrichtigt hatte oder die betroffenen Personen benachrichtigen würde.
711.000 Dateien seit 2015 offengelegt, darunter Sozialversicherungsnummern und medizinische Daten; keine bestätigte Benachrichtigung der betroffenen Personen oder Behörden.
Da Amazon-Buckets standardmäßig privat sind, musste jemand bei BackNine die Berechtigungen auf öffentlich ändern.
Die Dateien wurden unverschlüsselt gespeichert, sodass offener Zugriff vollständigen Zugriff auf sensible persönliche und medizinische Daten bedeutete.
Das Unternehmen reagierte nicht auf die Warnung des Forschers Anfang Juni, bis ein Journalist im Juli den Bucket benannte.
Speicher, der standardmäßig privat ist, muss von jemandem öffentlich gemacht werden. Die Gesundheitsdaten von Antragstellern offen zu lassen und dann den Forscher zu ignorieren, der gewarnt hat, macht aus einem Einstellungsfehler ein Offenlegungsversäumnis.
Der Bucket wurde innerhalb von Minuten nach TechCrunchs E-Mail an Tattersall gesperrt. Zum Zeitpunkt der Veröffentlichung hatte BackNine nicht auf die Fragen von TechCrunch zur Benachrichtigung über Datenschutzverletzungen geantwortet, und TechCrunch wies darauf hin, dass Unternehmen bei der Nichtoffenlegung eines Cybersicherheitsvorfalls mit empfindlichen Strafen rechnen können.
DEN BELEGEN FOLGEN
Die Quellen
- An insurtech startup exposed thousands of sensitive insurance applications TechCrunch · techcrunch.com ·