A operadora do RedDoorz deixou uma chave de nuvem em um aplicativo antigo — dados de 5,9 milhões de clientes vazaram

A Commeasure, empresa de Singapura que opera o site de reservas de hotéis RedDoorz, soube em 19 de setembro de 2020, por meio de uma empresa norte-americana de cibersegurança, que dados de clientes haviam vazado. Os dados pessoais de quase 5,9 milhões de clientes do Sudeste Asiático, a maioria da Indonésia e cerca de 9.000 de Singapura, incluíam nomes, números de contato, e-mails, datas de nascimento, senhas de conta criptografadas e informações de reservas. Os dados foram oferecidos para venda em um fórum de hackers. Números de cartão de crédito mascarados não foram acessados.

A PDPC de Singapura concluiu que os hackers provavelmente chegaram ao banco de dados em nuvem da Amazon da empresa usando uma chave de acesso da AWS incorporada em um pacote de aplicativo Android (APK) que a Commeasure criou em 2015. Incorporar chaves no código contraria a orientação da AWS, a chave foi rotulada erroneamente como "chave de teste" e o APK, embora considerado descontinuado, permaneceu disponível para download no Google Play até que a violação fosse descoberta.

Como o APK era considerado descontinuado, ele ficou de fora da revisão e dos testes de segurança que a Commeasure contratou entre setembro e dezembro de 2019, e também de uma ferramenta de segurança que poderia ter impedido que a chave fosse encontrada. A PDPC atribuiu isso à negligência na manutenção de um inventário dos ativos de TI em produção e afirmou que as revisões não foram suficientemente rigorosas. A PDPC multou a Commeasure em S$ 74.000 em uma decisão emitida em 11 de novembro de 2021.

Dados de cerca de 5,9 milhões de clientes vazaram; a PDPC multou a Commeasure em S$ 74.000 em novembro de 2021 pela maior violação de dados de Singapura sob a PDPA

Uma chave de acesso da AWS foi incorporada diretamente em um pacote de aplicativo, contrariando a própria orientação da AWS de não colocar chaves no código.

A chave foi rotulada erroneamente como "chave de teste", o que a fez parecer inofensiva.

O APK era considerado descontinuado, por isso não estava no inventário de ativos de TI e foi excluído da revisão de segurança de 2019.

A PDPC concluiu que as revisões periódicas de segurança foram inúteis para essa exposição porque o APK afetado nunca esteve no escopo delas.

Um ativo esquecido continua sendo uma superfície de ataque. Se um aplicativo ou uma chave "descontinuados" não estão no inventário de TI, ficam fora de todas as revisões de segurança, e os atacantes só precisam encontrá-los uma vez.

A PDPC considerou as dificuldades que a pandemia causou ao setor de hospitalidade e as medidas corretivas da empresa ao fixar a multa de S$ 74.000, bem abaixo do máximo de S$ 1 milhão então em vigor e do total de S$ 1 milhão imposto à SingHealth e à IHiS pela violação de 2018. Após o incidente, a Commeasure restringiu o acesso ao banco de dados em produção a endereços IP na lista de permissões e adicionou autenticação de dois fatores para ferramentas de desenvolvedor. Todos os desenvolvedores, exceto um cofundador e o diretor de tecnologia, haviam deixado a empresa até a data da decisão.