Uma edição de um único caractere por um engenheiro da Capgemini vazou dados da Razer; tribunal concedeu US$ 6,5 milhões

A Razer contratou a consultoria de TI WhiteSky Labs em 2019 para atualizar sua plataforma de comércio digital; a Capgemini adquiriu a WhiteSky em junho de 2020 e assumiu suas obrigações. A Capgemini havia recomendado que a Razer usasse a ELK Stack (Elasticsearch, Logstash e Kibana). Em 17 ou 18 de junho de 2020, um funcionário da Capgemini foi solicitado a solucionar um problema porque a equipe da Razer não conseguia fazer login no Kibana. A Razer afirmou que ele adicionou um comando '#' a um arquivo de configuração no servidor Elasticsearch que controlava segurança e acesso, o que permitiu acesso não autenticado ao Kibana.

O pesquisador de segurança Bob Diachenko alertou a Razer sobre a exposição em 19 de agosto de 2020 e posteriormente estimou que cerca de 100.000 clientes foram afetados; a violação, que expôs detalhes de envio e pedidos de milhares de clientes em todo o mundo, foi amplamente noticiada em setembro de 2020. A Razer afirmou que números de cartão e senhas estavam seguros. O funcionário corrigiu o problema em 10 de setembro, removendo o '#'.

A Capgemini negou ter causado a configuração incorreta e argumentou que a correção do login estava fora de seu escopo e que a Razer mantinha a stack. No sexto dia do julgamento, em julho de 2022, o funcionário admitiu que havia causado o problema. Em dezembro de 2022, o juiz Lee Seiu Kin concluiu que o trabalho estava dentro do escopo contratado, que a Capgemini violou suas obrigações e foi negligente, e concedeu à Razer US$ 6,5 milhões, sendo a maior parte US$ 6,1 milhões em lucros cessantes do Razer.com, além de cerca de US$ 60.000 para perícia e US$ 320.000 para honorários advocatícios no trato com reguladores.

Um vazamento de detalhes de envio e pedidos de milhares de clientes da Razer; o tribunal concedeu à Razer US$ 6,5 milhões (S$ 8,7 milhões), sendo a maior parte US$ 6,1 milhões em lucros cessantes.

Uma etapa de solução de problemas em um problema de login comentou a configuração que impunha controle de acesso ao aplicativo Kibana.

A alteração foi feita por um funcionário de fornecedor e aparentemente não foi detectada pela revisão, e a exposição ficou indetectada por semanas.

A Capgemini primeiro negou responsabilidade e disse que o trabalho estava fora do escopo, até que seu funcionário admitiu a alteração no julgamento.

O tribunal concluiu que a assistência de login estava dentro do escopo de trabalho que a Capgemini havia aceitado.

Uma correção rápida para um problema de login pode desativar a autenticação; fornecedores precisam de revisão de alterações, e clientes precisam de um escopo claro de quem é responsável pelas configurações de segurança.

A Razer venceu sua ação judicial em 9 de dezembro de 2022 e recebeu US$ 6,5 milhões em danos da Suprema Corte de Singapura. O tribunal aceitou que as consultas de clientes mostraram que o incidente reduziu a disposição de comprar no Razer.com.