Bucket S3 di proprietà di Securitas non correttamente configurati, erano online accessibili a chiunque. In gioco ci sono i dati sensibili di dipendenti aeroportuali e il rischio di crimini utilizzando dati strategici sul settore trasporti
Lo ha scoperto la società Skyhigh Security, un server non protetto che esponeva dati sensibili appartenenti ai dipendenti aeroportuali in Colombia e Perù.
I bucket AWS S3 contenenti circa 3 TB di dati risalenti al 2018 erano costituiti da file dei dipendenti aeroportuali, foto di carte d’identità e informazioni di identificazione personale, inclusi nomi, foto, occupazioni e numeri di identificazione nazionale (i nostri codici fiscali).
Un milione e mezzo di file esposti ad Internet
“La sicurezza aeroportuale protegge la vita dei viaggiatori e del personale aeroportuale. In quanto tale, questa violazione è estremamente pericolosa con conseguenze potenzialmente devastanti nel caso in cui il contenuto del secchio finisse nelle mani sbagliate”, ricorda Skyhigh Security.
Il problema fondamentale rimane sapere chi possa aver avuto accesso a questo bucket S3 da quando è stato creato, perché i crimini utilizzando documenti falsi, in questo settore, potrebbero arrivare a costare la vita a diverse persone.
I dati includevano anche foto di dipendenti delle compagnie aeree, aerei, linee del carburante, carte d’identità nazionali, coordinate della mappa GPS e bagagli.
L’aiuto della tecnologia Cloud è sicuramente qualcosa di innegabilmente utile in tutti i settori. L’accelerazione che però le aziende hanno dato, soprattutto in senno alla pandemia Covid19, per ottemperare all’emergenza e senza una pronta formazione in queste tecnologie, ha portato non pochi problemi lato sicurezza. Il Cloud mal configurato è un fatto grave, perché espone a rischi tutte le persone che ne usufruiscono, anche chi lo utilizza con tutti i criteri di sicurezza richiesti dalle buone pratiche.
Effettivamente, anche gli ID delle applicazioni utilizzate per le attività aeroportuali, inclusi i rapporti sugli incidenti, sono tra il materiale presente in quei bucket S3 compromessi, dettaglio che indica subito una corretta attribuzione dei dati al legittimo proprietario.
Mettere in atto misure per rilevare le minacce interne, le minacce provenienti da account compromessi e l’uso improprio dell’accesso privilegiato, sono pratiche ormai non più rinviabili per tutte le organizzazioni. Settori strategici come i trasporti (quindi anche aerei), non possono prescindere da questo.
