Правительственный подрядчик хранил конфиденциальные данные в облаке Amazon

Известный ИБ-эксперт Крис Викери (Chris Vickery), который регулярно сообщает об утечках данных из плохо защищенных БД и серверов, рассказал еще об одном ярком примере халатного отношения к безопасности. Судя по всему, сотрудники компании Booz Allen Hamilton, которая является подрядчиком Национального агентства геопространственной разведки США (U.S. National Geospatial-Intelligence Agency, NGA), оставили конфиденциальные данные на сервере Amazon, без какой-либо защиты.

Викери объясняет, что в неправильно настроенном бакете Amazon S3 обнаружились десятки тысяч файлов, имеющих отношение к различным военным проектам и работе NGA. Хотя секретных документов на сервере не было, среди файлов, тем не менее, свободно лежали учетные данные от различных репозиториев и сервисов, где, в свою очередь, могли обнаружиться и секретные файлы.

«Если вкратце, для доступа к такой информации обычно требуется уровень допуска Top Secret, полученный от Министерства обороны США, однако данные были доступны каждому, кто знал, где искать. Не нужно было ничего взламывать и получать учетные данные для потенциального доступа к этим высокоуровневым материалам», — говорит Викери.

Любому желающему было доступно более 28 Гб данных (более 60 000 файлов), включая SSH-ключи руководящих сотрудников Booz Allen Hamilton и более полудюжины логинов и паролей (в том числе от закрытых и хорошо защищенных систем Пентагона), принадлежавших правительственным подрядчикам, которые обладают доступом к секретной информации.

Еще 22 мая 2017 года Крис Викери уведомил о своей находке представителей Booz Allen Hamilton, однако так и не дождался какого-либо ответа. 25 мая 2017 года исследователь обратился напрямую в Национальное агентство геопространственной разведки США, после чего утечка была устранена в течение нескольких минут. Также NGA немедленно аннулировало все скомпрометированные учетные данные.

Представители Booz Allen Hamilton дали комментарий журналистам издания Gizmodo и сообщили, что проводят расследование случившегося и так же отозвали все скомпрометированные ключи и пароли. По заверениям NGA и Booz Allen Hamilton, никакие секретные материалы в ходе утечки не пострадали.