Breșa Gyazo: 490 de milioane de metadate, inclusiv textul citit din capturile de ecran

A doua categorie de date este cea care face acest incident diferit de o scurgere obișnuită de conturi. Helpfeel descrie aproximativ 490 de milioane de înregistrări de metadate pentru imagini înregistrate înainte de ianuarie 2019, plus încă 2,4 milioane de înregistrări. Conținutul lor: identificatorii imaginilor, adresele IP de la încărcare, date de localizare EXIF, titluri — și textul extras prin OCR.

Ultimul element merită citit de două ori. Textul vizibil în interiorul capturilor de ecran fusese extras automat și stocat ca metadată. Asta înseamnă că o parte din conținutul imaginilor este expus ca text, fără ca cineva să fie nevoit să deschidă vreo imagine.

Iar imaginile în sine nu sunt nici ele complet în afara discuției. Compania spune că identificatorii expuși „ar putea fi folosiți de un terț pentru a accesa și vizualiza imaginile corespunzătoare fără autorizare” și că nu poate exclude posibilitatea ca unele imagini private să fi fost vizualizate. Ca măsură, Helpfeel a suspendat temporar livrarea imaginilor și spune că a blocat căile de acces și a remediat vulnerabilitatea.

• Confirmat de Helpfeel: data intruziunii, vectorul — o vulnerabilitate în serverul de încărcare a imaginilor care a permis execuția de comenzi arbitrare — și accesul la baza de date.
• Confirmat de Helpfeel: categoriile și volumele de date, faptul că nu au fost expuse informații de plată, și că unele imagini private ar fi putut fi vizualizate.
• Confirmat de Helpfeel: solicitarea adresată tuturor utilizatorilor de a-și schimba parola, inclusiv pe alte servicii unde au folosit una identică sau similară.
• Necunoscut public: cine se află în spatele atacului, dacă datele au fost publicate sau vândute, câte imagini private au fost efectiv accesate și ce organizații sunt afectate indirect prin conturile angajaților.
• De reținut: un hash de parolă nu este o parolă, dar nici o garanție. Rezistența depinde de algoritmul folosit, iar compania nu detaliază public acest aspect.

Gyazo este genul de instrument pe care nimeni nu îl achiziționează. Se instalează în două minute, este gratuit pentru uz de bază și rezolvă o nevoie reală: trimiți rapid cuiva ce vezi pe ecran. Tocmai de aceea ajunge des în fluxul de lucru fără să treacă prin IT, achiziții sau juridic.

Iar ce se fotografiază de pe ecranele de lucru nu este, de obicei, o pisică. Sunt tablouri de bord cu cifre, tichete de suport cu datele unui client, ecrane de configurare, mesaje de eroare care conțin căi interne și uneori chei, liste de utilizatori, documente deschise. Într-o breșă obișnuită pierzi adrese de e-mail. Aici se pune problema conținutului operațional al organizației, ajuns pe un serviciu terț fără niciun contract.

Există și o întrebare de conformitate care merită pusă, nu presupusă: dacă angajații au partajat prin acest instrument date cu caracter personal ale clienților sau colegilor, organizația a folosit un împuternicit fără un acord de prelucrare. Răspunsul depinde de ce s-a partajat efectiv și este o evaluare pentru juridic, nu o concluzie care se trage dintr-un articol.

• Află dacă instrumentul este folosit, fără să pornești o vânătoare. Caută domeniul în logurile de proxy sau DNS pe ultimele luni și verifică extensiile de browser instalate, dacă le gestionezi centralizat. O întrebare deschisă adresată echipelor funcționează adesea mai bine decât o căutare: oamenii răspund dacă nu se simt acuzați.
• Dacă este folosit, cere o listă a ce s-a partajat în ultimul an, în termeni de categorii, nu de fișiere: capturi cu date de clienți, cu sisteme interne, cu ecrane de configurare. Scopul este evaluarea expunerii, nu identificarea vinovaților.
• Tratează reutilizarea parolelor ca risc principal pe termen scurt. Dacă cineva a folosit aceeași parolă la Gyazo și la un cont de serviciu, incidentul dintr-un instrument neaprobat devine o problemă de acces în organizația ta.
• Verifică dacă există link-uri Gyazo în locuri permanente — tichete, wiki intern, documentație, canale de chat arhivate. Un link care părea temporar acum doi ani este acum o adresă cu identificator expus.
• Oferă alternativa înainte de a interzice ceva. O interdicție fără înlocuitor produce doar o utilizare mai discretă a aceluiași instrument. Un mecanism intern de partajare, cu expirare și control al accesului, rezolvă nevoia reală care a dus la instalarea lui.

Instrumentele gratuite care rezolvă o frecare zilnică ajung în organizație indiferent de politici. Lista de aplicații aprobate care nu răspunde nevoii pentru care oamenii au instalat altceva este o listă care va fi ocolită. Întrebarea utilă pentru conducere nu este „cum interzicem”, ci „ce nevoie a rămas neacoperită și cine o rezolvă oficial”.

Pentru partajarea informațiilor sensibile, criteriile practice sunt puține și clare: conținutul expiră, accesul poate fi revocat, există o urmă a cine a deschis și ce, iar furnizorul are un contract cu organizația. Secretus acoperă acest tip de transfer controlat; inventarul instrumentelor deja folosite și evaluarea expunerii rămân ale organizației.