Un error de un solo carácter de un ingeniero de Capgemini filtró datos de Razer; el tribunal concedió 6,5 millones de dólares

Razer contrató a la consultora de TI WhiteSky Labs en 2019 para actualizar su plataforma de comercio digital; Capgemini adquirió WhiteSky en junio de 2020 y asumió sus obligaciones. Capgemini había recomendado a Razer usar el ELK Stack (Elasticsearch, Logstash y Kibana). El 17 o 18 de junio de 2020 se pidió a un empleado de Capgemini que solucionara un problema porque el personal de Razer no podía iniciar sesión en Kibana. Razer afirmó que añadió un comando '#' a un archivo de configuración en el servidor de Elasticsearch que controlaba la seguridad y el acceso, lo que permitió el acceso no autenticado a Kibana.

El investigador de seguridad Bob Diachenko alertó a Razer sobre la exposición el 19 de agosto de 2020 y posteriormente estimó que unos 100.000 clientes se vieron afectados; la brecha, que expuso datos de envío y de pedidos de miles de clientes en todo el mundo, fue ampliamente difundida en septiembre de 2020. Razer afirmó que los números de tarjeta y las contraseñas estaban a salvo. El empleado solucionó el problema el 10 de septiembre eliminando el '#'.

Capgemini negó haber causado la mala configuración y argumentó que la solución del inicio de sesión quedaba fuera de su alcance y que Razer mantenía el stack. El sexto día del juicio, en julio de 2022, el empleado admitió que él lo había causado. En diciembre de 2022, el juez Lee Seiu Kin determinó que el trabajo estaba dentro del alcance contractual, que Capgemini incumplió sus obligaciones y fue negligente, y concedió a Razer 6,5 millones de dólares estadounidenses, en su mayoría 6,1 millones de dólares estadounidenses en lucro cesante de Razer.com, más unos 60.000 dólares estadounidenses para informática forense y 320.000 dólares estadounidenses en honorarios legales por tratar con los reguladores.

Una filtración de datos de envío y de pedidos de miles de clientes de Razer; el tribunal concedió a Razer 6,5 millones de dólares estadounidenses (8,7 millones de dólares de Singapur), en su mayoría 6,1 millones de dólares estadounidenses en lucro cesante.

Un paso de solución de problemas ante un problema de inicio de sesión comentó la configuración que aplicaba el control de acceso en la aplicación Kibana.

El cambio lo realizó un empleado de un proveedor y, al parecer, no fue detectado en la revisión, y la exposición pasó inadvertida durante semanas.

Capgemini primero negó su responsabilidad y dijo que el trabajo estaba fuera de alcance, hasta que su empleado admitió el cambio en el juicio.

El tribunal determinó que la asistencia con el inicio de sesión estaba dentro del alcance del trabajo que Capgemini había acordado.

Una solución rápida a un problema de inicio de sesión puede desactivar la autenticación; los proveedores necesitan revisión de cambios, y los clientes necesitan un alcance claro de quién es responsable de la configuración de seguridad.

Razer ganó su demanda el 9 de diciembre de 2022 y el Tribunal Superior de Singapur le concedió 6,5 millones de dólares estadounidenses en daños y perjuicios. El tribunal aceptó que las consultas de los clientes demostraban que el incidente redujo la disposición a comprar en Razer.com.