Një rrjedhje të dhënash nga një server cloud i pasigurt ka ekspozuar qindra mijëra dokumente të ndjeshme të transfertave bankare në Indi, duke zbuluar numra llogarie, shuma transaksionesh dhe të dhëna kontakti të individëve.

Dokumente të Bankave Indiane të Ekspozuara nga Një Server Cloud i Pasigurt

Ekspertë të sigurisë kibernetike nga kompania UpGuard zbuluan në fund të muajit gusht një server të hapur Amazon S3, i cili përmbante 273,000 dokumente PDF që lidhen me transfertat bankare të klientëve indianë. Këto skedarë përfshinin formularë të plotësuar të transaksioneve, të cilët ishin të destinuar për përpunim nëpërmjet sistemit të centralizuar NACH, që përdoret nga bankat në Indi për të lehtësuar pagesa të shumta të përsëritura si rrogat, këstet e kredive dhe pagesat e shërbimeve.

Të dhënat ishin të lidhura të paktën me 38 banka dhe institucione financiare të ndryshme në Indi. Sipas UpGuard, dokumentet e ekspozuara përmbanin informacione të ndjeshme dhe u zbuluan rastësisht online. Edhe pse rrjedhja u mbyll më vonë, burimi i saktë i problemit nuk u identifikua menjëherë.

Reagimi i Kompanive dhe Humbja e Kontrollit mbi të Dhënat

Pas publikimit të lajmit, kompania fintech indiane Nupay pranoi se kishte rregulluar një gabim konfigurimi në një Amazon S3, i cili përmbante formularët e transfertave bankare. Megjithatë, nuk dihet pse të dhënat u lanë publike dhe të aksesueshme, por raste të tilla ndodhin zakonisht nga gabime njerëzore.

Në një analizë të publikuar nga UpGuard, nga 55,000 dokumente të shqyrtuara, më shumë se gjysma përmbanin emrin e Aye Finance, një huadhënës indian që gjatë vitit të kaluar aplikoi për IPO me vlerë 171 milionë dollarë. Një pjesë e madhe e dokumenteve i përkiste gjithashtu State Bank of India. UpGuard njoftoi Aye Finance dhe NPCI (National Payments Corporation of India) në momentin që zbuloi rrjedhjen, por deri në fillim të shtatorit të dhënat ishin ende të ekspozuara dhe çdo ditë shtoheshin mijëra dokumente të reja.

Më pas, UpGuard informoi ekipin indian për reagime emergjente kompjuterike, CERT-In, dhe të dhënat u siguruan shpejt. Gjithsesi, mbeti e paqartë kush ishte përgjegjës direkt për këtë dobësi të sigurisë, pasi institucionet kryesore që përmendeshin në dokumente mohuan fajësinë. Vetëm pas publikimit, Nupay e konfirmoi rolin e saj si burim i rrjedhjes së të dhënave.

Në deklaratën e kompanisë, bashkëthemeluesi Neeraj Singh shpjegoi se vetëm një pjesë e kufizuar e të dhënave përdoreshin për testim dhe nuk kishte pasur qasje të paautorizuar ose dëme financiare të konfirmuara. Megjithatë, sipas UpGuard, vetëm disa qindra të dhëna rezultuan si teste, ndërsa pjesa dërrmuese përmbanin të dhëna reale. Për më tepër, sistemi i cloud kishte të dhënat indekse të aksesueshme publikisht, çka rritte rrezikun që informacione të tjera të ndjeshme mund të ishin kopjuar nga palë të treta.

Ndërsa situata është qetësuar dhe të dhënat janë siguruar, rasti tregon rëndësinë e theksuar të sigurisë së serverëve cloud për institucionet financiare dhe domosdoshmërinë e kontrolleve të vazhdueshme për të parandaluar rrjedhje të tilla të të dhënave.

Publikuar fillimisht më 25 shtator dhe përditësuar me të dhënat më të fundit nga Nupay.

Tags: India, rrjedhje të dhënash, banka, siguria kibernetike, server cloud, transfertat bankare