BackNine a laissé 711 000 dossiers d'assurance ouverts sur le cloud d'Amazon et ignoré l'avertissement

TechCrunch a rapporté le 16 juillet 2021 que la startup californienne d'assurance-technologie BackNine avait un bucket de stockage Amazon mal configuré qui permettait à quiconque d'accéder à ses 711 000 fichiers. BackNine développe des logiciels de back-office pour les assureurs qui vendent de l'assurance vie et invalidité et propose un formulaire de devis en marque blanche. Les fichiers comprenaient des demandes complétées avec noms, adresses, numéros de téléphone, numéros de sécurité sociale, diagnostics, médicaments, questionnaires de santé et résultats d'analyses et de tests tels que des analyses sanguines et des électrocardiogrammes, ainsi que des images de signatures. Aucune des données n'était chiffrée.

Les documents dataient de 2015 jusqu'au mois du rapport. Le chercheur en sécurité Bob Diachenko a envoyé un courriel à l'entreprise début juin, a obtenu une réponse initiale, puis n'a plus rien entendu et le bucket est resté ouvert. TechCrunch a également contacté le vice-président de BackNine, Reid Tattersall, et n'a pas obtenu de réponse. Quelques minutes après que TechCrunch a communiqué le nom du bucket à Tattersall seul, les données ont été verrouillées.

Beaucoup des demandes concernaient de grands assureurs, notamment AIG, TransAmerica, John Hancock, Lincoln Financial Group et Prudential, qui n'ont pas commenté. BackNine n'a pas répondu s'il avait alerté les autorités en vertu des lois étatiques de notification des violations de données ou s'il informerait les personnes concernées.

711 000 fichiers exposés depuis 2015, y compris des numéros de sécurité sociale et des données médicales ; aucune notification confirmée aux personnes concernées ou aux autorités.

Parce que les buckets Amazon sont privés par défaut, quelqu'un chez BackNine a dû modifier les autorisations pour les rendre publics.

Les fichiers étaient stockés non chiffrés, de sorte que l'accès ouvert signifiait un accès complet à des données personnelles et médicales sensibles.

L'entreprise n'a pas donné suite à l'avertissement du chercheur début juin avant qu'un journaliste ne nomme le bucket en juillet.

Un stockage privé par défaut doit être rendu public par quelqu'un. Laisser les données de santé des demandeurs ouvertes, puis ignorer le chercheur qui a averti, transforme une erreur de configuration en un échec de divulgation.

Le bucket a été verrouillé quelques minutes après le courriel de TechCrunch à Tattersall. Au moment de la publication, BackNine n'avait pas répondu aux questions de TechCrunch sur la notification des violations, et TechCrunch a noté que les entreprises peuvent encourir de lourdes sanctions pour ne pas divulguer un incident de cybersécurité.