Një rrjedhje të dhënash nga një server cloud i pasigurt ka zbuluar qindra mijëra dokumente të ndjeshme të transfertave bankare në Indi, duke përfshirë numrat e llogarive, shumat e transaksioneve dhe të dhënat e kontaktit të individëve.

Detajet e Skandalit të Sigurisë së të Dhënave

Studiuesit në kompaninë e sigurisë kibernetike UpGuard identifikuan në fund të muajit gusht një server Amazon të hapur për publikun, i cili përmbante rreth 273,000 dokumente PDF që lidhen me transferta bankare të klientëve indianë. Dokumentet e ekspozuara përfshinin formularë të plotësuar të transaksioneve që ishin përpunuar përmes sistemit të centralizuar National Automated Clearing House (NACH), i cili përdoret nga bankat në Indi për transaksione të përsëritura në vëllime të larta, si pagesat e pagave, këstet e kredive dhe pagesat e shërbimeve.

Këto të dhëna u lidhën me të paktën 38 banka e institucione financiare të ndryshme, sipas studiuesve të UpGuard. Megjithëse rrjedhja e të dhënave u ndalua më vonë, burimi i saktë i rrjedhjes nuk u identifikua fillimisht. Pas botimit të artikullit, kompania fintech indiane Nupay konfirmoi se kishte adresuar një problem konfigurimi në një bucket Amazon S3 që përmbante këto dokumente. Nuk dihet pse të dhënat u lanë të ekspozuara publikisht, por gabimet njerëzore shpesh janë përgjegjëse për raste të tilla.

Nupay Pranon Keqkonfigurimin dhe Siguron të Dhënat

Sipas blogut zyrtar të UpGuard, nga një mostër prej 55,000 dokumentesh të verifikuara, më shumë se gjysma përmendnin emrin e huadhënësit indian Aye Finance, ndërsa në listë ndodhej edhe State Bank of India si institucioni tjetër më i përfaqësuar. Pas zbulimit, UpGuard informoi Aye Finance dhe National Payments Corporation of India (NPCI), organi shtetëror përgjegjës për NACH. Deri në fillim të shtatorit, serveri vazhdonte të përditësohej me mijëra dokumente të reja të ekspozuara çdo ditë.

Organizata e alarmoi gjithashtu dhe CERT-In, ekipi indian i reagimit ndaj emergjencave kompjuterike, pas çka serveri u sigurua. Megjithatë, përgjegjësia për rrjedhjen mbeti e paqartë, pasi Aye Finance dhe NCPI mohuan çdo lidhje me incidentin, ndërsa State Bank of India nuk dha komente.

Pas publikimit të lajmit, Nupay pranoi se ishte arsyeja e rrjedhjes së të dhënave, duke deklaruar se një set i kufizuar të dhënash testuese ishte ruajtur në bucket-in Amazon S3 dhe shumica ishin “skedarë testues” ose “dummy”. Kompania siguroi se nuk kishte pasur qasje të paautorizuar apo rrjedhje të dhënash financiare, duke u mbështetur te log-et e serverit të tyre Amazon.

UpGuard kundërshtoi deklaratat e Nupay, duke theksuar se vetëm disa qindra nga mijëra dokumente të verifikuara ishin të dhëna testuese. Për më tepër, adresa publike e bucket-it ishte indeksuar në një bazë të dhënash publike, që do të thotë se ekspozimi ishte i aksesueshëm për këdo.

Mbajtja e këtyre të dhënave kaq të ndjeshme të paprotrektura tregon rëndësinë kritike të sigurisë së cloud-it për institucionet financiare në Indi. Ekspertët këshillojnë që kontrollet e shpeshta të sigurisë dhe auditimet teknike janë të domosdoshme për të shmangur incidente të ngjashme në të ardhmen.

Tags: rrjedhje të dhënash, siguria kibernetike, bankat indiane, Amazon S3, cloud security, Nupay