BackNine 將 711,000 份保險檔案公開留在 Amazon 雲端上，並無視警告

TechCrunch 於 2021 年 7 月 16 日報導，加州保險科技新創公司 BackNine 有一個設定錯誤的 Amazon 儲存桶，讓任何人都能存取其 711,000 份檔案。BackNine 為銷售人壽與失能保險的保險公司打造後台軟體，並提供白標報價表單。這些檔案包含已填寫的申請書，其中有姓名、地址、電話號碼、社會安全號碼、診斷、藥物、健康問卷，以及血液檢查與心電圖等化驗與檢驗結果，另有簽名影像。這些資料完全沒有加密。

這些文件日期從 2015 年到報導當月。安全研究員 Bob Diachenko 於 6 月初寄電子郵件給該公司，獲得初步回覆，之後便再無音訊，而該儲存桶仍保持開放。TechCrunch 也聯繫了 BackNine 副總裁 Reid Tattersall，但未獲回應。在 TechCrunch 僅向 Tattersall 告知該儲存桶名稱後幾分鐘內，資料便被鎖定。

許多申請書是為大型保險公司而提交，包括 AIG、TransAmerica、John Hancock、Lincoln Financial Group 與 Prudential，這些公司均未置評。BackNine 未回答是否已依各州資料外洩通知法通知主管機關，或是否會通知受影響的個人。

自 2015 年以來共 711,000 份檔案外洩，包含社會安全號碼與醫療資料；未確認已通知受影響民眾或主管機關。

由於 Amazon 儲存桶預設為私有，BackNine 內部有人必須將權限改為公開。

這些檔案以未加密方式儲存，因此開放存取就等於完整存取敏感的個人與醫療資料。

該公司並未理會研究員在 6 月初的警告，直到 7 月有記者點名該儲存桶才採取行動。

預設為私有的儲存空間，必須有人將其設為公開才會公開。讓申請人的健康資料處於開放狀態，隨後又無視提出警告的研究員，便將一個設定錯誤變成了一起揭露失敗。

在 TechCrunch 寄電子郵件給 Tattersall 後幾分鐘內，該儲存桶便被鎖定。截至發稿時，BackNine 尚未回應 TechCrunch 關於資料外洩通知的提問，而 TechCrunch 指出，公司若未揭露網路安全事件，可能面臨嚴厲罰則。