Ein Ein-Zeichen-Edit eines Capgemini-Ingenieurs führte zum Leak von Razer-Daten; Gericht sprach 6,5 Mio. US-Dollar zu

Razer beauftragte 2019 die IT-Beratung WhiteSky Labs mit der Aktualisierung seiner Digital-Commerce-Plattform; Capgemini übernahm WhiteSky im Juni 2020 und trat in deren Verpflichtungen ein. Capgemini hatte Razer empfohlen, den ELK Stack (Elasticsearch, Logstash und Kibana) zu verwenden. Am 17. oder 18. Juni 2020 wurde ein Capgemini-Mitarbeiter gebeten, eine Fehleranalyse durchzuführen, weil Razer-Mitarbeiter sich nicht bei Kibana anmelden konnten. Razer gab an, er habe einen '#'-Befehl zu einer Konfigurationsdatei auf dem Elasticsearch-Server hinzugefügt, die Sicherheit und Zugriff steuerte, was einen nicht authentifizierten Zugriff auf Kibana ermöglichte.

Der Sicherheitsforscher Bob Diachenko meldete Razer die Exposition am 19. August 2020 und schätzte später, dass etwa 100.000 Kunden betroffen waren; der Vorfall, bei dem Versand- und Bestelldaten von Tausenden Kunden weltweit offengelegt wurden, wurde im September 2020 breit berichtet. Razer erklärte, Kartennummern und Passwörter seien sicher gewesen. Der Mitarbeiter behob das Problem am 10. September durch Entfernen des '#'.

Capgemini bestritt, die Fehlkonfiguration verursacht zu haben, und argumentierte, die Login-Korrektur habe außerhalb seines Zuständigkeitsbereichs gelegen und Razer habe den Stack gewartet. Am sechsten Verhandlungstag im Juli 2022 räumte der Mitarbeiter ein, sie verursacht zu haben. Im Dezember 2022 stellte Richter Lee Seiu Kin fest, die Arbeit habe im vertraglich vereinbarten Umfang gelegen, Capgemini habe seine Pflichten verletzt und fahrlässig gehandelt, und sprach Razer 6,5 Mio. US-Dollar zu, überwiegend 6,1 Mio. US-Dollar entgangenen Gewinns von Razer.com, zuzüglich etwa 60.000 US-Dollar für Forensik und 320.000 US-Dollar für Anwaltskosten im Umgang mit Aufsichtsbehörden.

Ein Leak von Versand- und Bestelldaten Tausender Razer-Kunden; das Gericht sprach Razer 6,5 Mio. US-Dollar (8,7 Mio. S$) zu, überwiegend 6,1 Mio. US-Dollar entgangenen Gewinns.

Ein Fehlerbehebungsschritt bei einem Login-Problem kommentierte die Einstellung aus, die die Zugriffskontrolle auf die Kibana-Anwendung durchsetzte.

Die Änderung wurde von einem Mitarbeiter eines Dienstleisters vorgenommen und offenbar bei der Überprüfung nicht erkannt, und die Exposition blieb wochenlang unentdeckt.

Capgemini bestritt zunächst die Verantwortung und erklärte, die Arbeit liege außerhalb des Umfangs, bis sein Mitarbeiter die Änderung vor Gericht einräumte.

Das Gericht stellte fest, die Login-Unterstützung habe im Rahmen der von Capgemini vereinbarten Arbeit gelegen.

Eine schnelle Korrektur eines Login-Problems kann die Authentifizierung abschalten; Dienstleister benötigen eine Änderungsprüfung, und Kunden benötigen einen klaren Zuständigkeitsbereich dafür, wer die Sicherheitseinstellungen verantwortet.

Razer gewann seine Klage am 9. Dezember 2022 und erhielt vom High Court von Singapur 6,5 Mio. US-Dollar Schadensersatz zugesprochen. Das Gericht akzeptierte, dass Kundenanfragen zeigten, dass der Vorfall die Bereitschaft verringerte, bei Razer.com zu kaufen.