Capgemini 工程師的一個字元修改洩漏了 Razer 資料；法院判賠 650 萬美元

Razer 於 2019 年委託 IT 顧問公司 WhiteSky Labs 升級其數位商務平台；Capgemini 於 2020 年 6 月收購 WhiteSky，並承接其義務。Capgemini 曾建議 Razer 採用 ELK Stack（Elasticsearch、Logstash 與 Kibana）。2020 年 6 月 17 日或 18 日，一名 Capgemini 員工被要求排查問題，因為 Razer 員工無法登入 Kibana。Razer 表示，該員工在 Elasticsearch 伺服器上一個控制安全與存取權限的設定檔中加入了一行「#」指令，導致 Kibana 可被未經身分驗證存取。

安全研究員 Bob Diachenko 於 2020 年 8 月 19 日通知 Razer 此事，之後估計約有 10 萬名客戶受到影響；這起外洩事件暴露了全球數千名客戶的寄送與訂單資料，並於 2020 年 9 月被廣泛報導。Razer 表示卡號與密碼並未外洩。該員工於 9 月 10 日移除「#」，修復了問題。

Capgemini 否認造成此錯誤設定，主張修復登入問題不在其工作範圍內，且該技術堆疊由 Razer 維護。在 2022 年 7 月庭審第六天，該員工承認是他造成的。2022 年 12 月，法官 Lee Seiu Kin 認定該工作屬於合約範圍，Capgemini 違反其義務且有過失，判給 Razer 650 萬美元，其中大部分為 Razer.com 的 610 萬美元利潤損失，另加約 6 萬美元的鑑識費用及 32 萬美元的處理監管機關法律費用。

數千名 Razer 客戶的寄送與訂單資料外洩；法院判給 Razer 650 萬美元（870 萬新加坡元），其中大部分為 610 萬美元的利潤損失。

在排查登入問題時，一個疑難排解步驟將強制執行 Kibana 應用程式存取控制的設定註解掉了。

這項變更是由供應商員工所做，顯然未被審查發現，且外洩狀況持續數週未被偵測到。

Capgemini 起初否認責任，並表示該工作不在範圍內，直到其員工在庭審時承認這項變更。

法院認定，協助登入屬於 Capgemini 所同意的工作範圍。

為了解決登入問題而採取的快速修正，可能反而關閉了身分驗證；供應商需要變更審查，客戶也需要明確界定由誰負責安全設定。

Razer 於 2022 年 12 月 9 日贏得訴訟，新加坡高等法院判給 650 萬美元損害賠償。法院採信客戶的詢問顯示，該事件降低了向 Razer.com 購買的意願。