Commeasure, das in Singapur ansässige Unternehmen, das die Hotelbuchungsseite RedDoorz betreibt, erfuhr am 19. September 2020 von einem US-amerikanischen Cybersicherheitsunternehmen, dass Kundendaten an die Öffentlichkeit gelangt waren. Zu den personenbezogenen Daten von fast 5,9 Millionen Kunden aus Südostasien – überwiegend aus Indonesien und etwa 9.000 aus Singapur – gehörten Namen, Kontaktnummern, E-Mail-Adressen, Geburtsdaten, verschlüsselte Kontopasswörter und Buchungsinformationen. Die Daten wurden in einem Hackerforum zum Verkauf angeboten. Maskierte Kreditkartennummern wurden nicht abgerufen.
Die singapurische PDPC stellte fest, dass die Hacker wahrscheinlich über einen AWS-Zugriffsschlüssel auf die Amazon-Cloud-Datenbank des Unternehmens zugegriffen hatten, der in ein Android-Anwendungspaket (APK) eingebettet war, das Commeasure 2015 erstellt hatte. Das Einbetten von Schlüsseln in Code widerspricht der Empfehlung von AWS, der Schlüssel war fälschlich als „Testschlüssel“ gekennzeichnet, und das APK blieb, obwohl es als nicht mehr in Betrieb betrachtet wurde, bis zur Entdeckung der Datenschutzverletzung auf Google Play herunterladbar.
Da das APK als nicht mehr in Betrieb betrachtet wurde, blieb es sowohl bei der von Commeasure von September bis Dezember 2019 in Auftrag gegebenen Sicherheitsüberprüfung und den entsprechenden Tests als auch bei einem Sicherheitstool außen vor, das hätte verhindern können, dass der Schlüssel gefunden wird. Die PDPC führte dies auf Fahrlässigkeit bei der Führung eines Inventars der IT-Assets im Produktivbetrieb zurück und erklärte, die Überprüfungen seien nicht ausreichend gründlich gewesen. In einem am 11. November 2021 erlassenen Urteil verhängte sie gegen Commeasure eine Geldbuße von 74.000 S$.
Daten von etwa 5,9 Mio. Kunden gelangten an die Öffentlichkeit; die PDPC verhängte im November 2021 gegen Commeasure eine Geldbuße von 74.000 S$ wegen der größten Datenschutzverletzung Singapurs nach dem PDPA
Ein AWS-Zugriffsschlüssel war direkt in ein App-Paket eingebettet, entgegen der eigenen Empfehlung von AWS, keine Schlüssel in Code abzulegen.
Der Schlüssel war fälschlich als „Testschlüssel“ gekennzeichnet, wodurch er harmlos erschien.
Das APK galt als nicht mehr in Betrieb und war daher nicht im Inventar der IT-Assets enthalten und wurde von der Sicherheitsüberprüfung 2019 ausgeschlossen.
Die PDPC stellte fest, dass die regelmäßigen Sicherheitsüberprüfungen für diese Schwachstelle nutzlos waren, da das betroffene APK nie in deren Geltungsbereich fiel.
Ein vergessenes Asset ist immer noch eine Angriffsfläche. Wenn eine „stillgelegte“ App oder ein solcher Schlüssel nicht im IT-Inventar erfasst ist, liegt sie außerhalb jeder Sicherheitsüberprüfung, und Angreifer müssen sie nur ein einziges Mal finden.
Die PDPC berücksichtigte bei der Festsetzung der Geldbuße von 74.000 S$ die Härten, die die Pandemie für den Beherbergungssektor verursacht hatte, sowie die Abhilfemaßnahmen des Unternehmens; die Geldbuße lag deutlich unter dem damals geltenden Höchstbetrag von 1 Mio. S$ und unter der kombinierten Geldbuße von 1 Mio. S$, die gegen SingHealth und IHiS wegen der Datenschutzverletzung von 2018 verhängt worden war. Nach dem Vorfall beschränkte Commeasure den Zugriff auf die Live-Datenbank auf IP-Adressen auf einer Positivliste und führte für Entwicklerwerkzeuge eine Zwei-Faktor-Authentifizierung ein. Bis zum Zeitpunkt des Urteils hatten alle Entwickler außer einem Mitgründer und dem Chief Technology Officer das Unternehmen verlassen.
DEN BELEGEN FOLGEN
Die Quellen
- Data of 5.9m customers of RedDoorz hotel booking site leaked in Spore's largest data breach The Straits Times · straitstimes.com ·