BackNine deixou 711.000 arquivos de seguros abertos na nuvem da Amazon e ignorou o alerta

A TechCrunch noticiou em 16 de julho de 2021 que a startup californiana de tecnologia de seguros BackNine tinha um bucket de armazenamento da Amazon mal configurado que permitia a qualquer pessoa acessar seus 711.000 arquivos. A BackNine desenvolve software de back-office para seguradoras que vendem seguros de vida e invalidez e oferece um formulário de cotação white-label. Os arquivos incluíam inscrições preenchidas com nomes, endereços, números de telefone, números de Seguro Social (SSN), diagnósticos, medicamentos, questionários de saúde e resultados de laboratório e exames, como exames de sangue e eletrocardiogramas, além de imagens de assinaturas. Nenhum dos dados estava criptografado.

Os documentos datavam de 2015 até o mês do relatório. O pesquisador de segurança Bob Diachenko enviou um e-mail à empresa no início de junho, obteve uma resposta inicial, depois não ouviu mais nada e o bucket permaneceu aberto. A TechCrunch também contatou o vice-presidente da BackNine, Reid Tattersall, e foi ignorada. Poucos minutos depois de a TechCrunch fornecer o nome do bucket apenas a Tattersall, os dados foram bloqueados.

Muitas das inscrições eram para grandes seguradoras, incluindo AIG, TransAmerica, John Hancock, Lincoln Financial Group e Prudential, que não comentaram. A BackNine não respondeu se havia alertado as autoridades sob as leis estaduais de notificação de violação de dados ou se notificaria os indivíduos afetados.

711.000 arquivos expostos desde 2015, incluindo SSNs e dados médicos; nenhuma notificação confirmada às pessoas afetadas ou às autoridades.

Como os buckets da Amazon são privados por padrão, alguém na BackNine teve que alterar as permissões para público.

Os arquivos eram armazenados sem criptografia, então o acesso aberto significava acesso total a dados pessoais e médicos sensíveis.

A empresa não agiu diante do alerta do pesquisador no início de junho até que um jornalista nomeasse o bucket em julho.

O armazenamento que é privado por padrão tem que ser tornado público por alguém. Deixar os dados de saúde dos candidatos abertos e depois ignorar o pesquisador que alertou transforma um erro de configuração em uma falha de divulgação.

O bucket foi bloqueado poucos minutos após o e-mail da TechCrunch a Tattersall. Até a publicação, a BackNine não havia respondido às perguntas da TechCrunch sobre notificação de violação de dados, e a TechCrunch observou que empresas podem enfrentar penalidades severas por não divulgar um incidente de segurança cibernética.