RedDoorz 營運商在舊應用程式中留下雲端金鑰——590 萬名客戶的資料外洩

經營 RedDoorz 飯店訂房網站的 Singapore 公司 Commeasure 於 2020 年 9 月 19 日從一家美國網路安全公司得知客戶資料已外洩。近 590 萬名東南亞客戶的個人資料遭到外洩，其中大多來自 Indonesia，約 9,000 名來自 Singapore，資料包括姓名、聯絡電話、電子郵件、出生日期、加密的帳戶密碼及訂房資訊。這些資料曾在駭客論壇上出售。遭遮蔽的信用卡號碼並未被存取。

Singapore 的 PDPC 認定，駭客很可能是利用嵌入在 Commeasure 於 2015 年建立的 Android 應用程式套件（APK）中的 AWS 存取金鑰，進入了該公司的 Amazon 雲端資料庫。將金鑰嵌入程式碼違反 AWS 的建議，該金鑰被錯誤標示為「測試金鑰」，而該 APK 雖被視為已停用，卻仍可在 Google Play 下載，直到外洩事件被發現為止。

由於該 APK 被視為已停用，因此未被納入 Commeasure 於 2019 年 9 月至 12 月委託進行的安全審查與測試，也未被納入一項原本可阻止該金鑰被發現的安全工具。PDPC 將此歸因於在維護生產環境 IT 資產清冊方面的疏忽，並表示這些審查不夠嚴謹。PDPC 於 2021 年 11 月 11 日作出的判決中，對 Commeasure 處以 74,000 新加坡元罰款。

約 590 萬名客戶的資料外洩；PDPC 於 2021 年 11 月依 PDPA 就 Singapore 歷來最大規模的資料外洩事件，對 Commeasure 處以 74,000 新加坡元罰款

AWS 存取金鑰被直接嵌入應用程式套件中，違反 AWS 本身不要將金鑰放入程式碼的建議。

該金鑰被錯誤標示為「測試金鑰」，使其看似無害。

該 APK 被視為已停用，因此不在 IT 資產清冊中，也被排除在 2019 年的安全審查之外。

PDPC 認定，定期安全審查對這項暴露毫無作用，因為受影響的 APK 從未在其範圍內。

被遺忘的資產仍是攻擊面。若一款「已停用」的應用程式或金鑰不在 IT 清冊中，它就不在任何安全審查的範圍內，而攻擊者只需找到它一次。

PDPC 在決定 74,000 新加坡元罰款時，考量了疫情對飯店業造成的困境及該公司的補救措施；該罰款遠低於當時有效的 100 萬新加坡元上限，也低於 2018 年外洩事件中對 SingHealth 與 IHiS 合計裁處的 100 萬新加坡元。事件發生後，Commeasure 將即時資料庫的存取限制於白名單 IP 位址，並為開發者工具新增雙因素驗證。截至裁決時，除一名共同創辦人與技術長外，所有開發人員均已離開該公司。