ข้อมูลสำคัญของหน่วยงานความมั่นคงสหรัฐรั่วนับแสนรายการ ถูก Contractor ปล่อยสาธารณะบน AWS

Chris Vickery นักวิเคราะห์ด้านความเสี่ยงในเชิงไซเบอร์แห่ง UpGuard ได้ค้นพบไฟล์สำคัญนับแสนหน่วยงานความมั่นคงสหรัฐบน Cloud Storage ของ Amazon โดยไฟล์เหล่านั้นสามารถถูกเข้าถึงได้อย่างสาธารณะ ไม่มีรหัสผ่านใดๆ ป้องกันเลย และมีขนาดรวมกันกว่า 28GB เลยทีเดียว

Credit: ShutterStock.com

เอกสารที่ค้นพบนี้เป็นเอกสารของโครงการหนึ่งในหน่วยงาน National Geospatial-Intelligence Agency (NGA) โดยนอกจากเอกสารข้อมูลที่ใช้ทำงานภายในหน่วยงานภาครัฐแล้ว เอกสารในไฟล์เหล่านี้ก็ยังมีทั้งรหัสผ่านของระบบสำคัญในรัฐบาลสหรัฐ, รหัสผ่านของพนักงานอาวุโสใน Booz Allen Hamilton ซึ่งเป็นหนึ่งในบริษัทที่ทำงานให้กับหน่วยงานความมั่นคงของสหรัฐ รวมถึงรหัสผ่านของคู่สัญญารายอื่นๆ ที่ทำงานกับหน่วยงานรัฐนี้ด้วย ทำให้ถึงแม้ข้อมูลต่างๆ ที่รั่วไหลออกมานี้ถึงจะไม่ได้เป็นความลับอะไรมากนัก แต่รหัสผ่านเหล่านี้ก็อาจนำไปสู่ข้อมูลความลับอื่นๆ มากมายได้ รวมถึงสามารถเข้าถึง Code Repository ต่างๆ ไปจนถึงระบบที่มีการป้องกันอย่างหนาแน่นของ Pentagon ได้

ในตอนแรกนั้น ไฟล์เหล่านี้ดูเหมือนจะถูกซ่อนเอาไว้จนคนทั่วๆ ไปที่ไม่รู้ช่องทางที่ชัดเจนก็ไม่อาจเข้าถึงได้ แต่กับคนที่มีวัตถุประสงค์อย่าง Vickery หรือคนที่มีวัตถุประสงค์อื่นๆ นั้นก็อาจค้นหาช่องทางจนโหลดไฟล์เหล่านั้นมาได้ทั้งหมด และอาจนำไปสู่การเข้าถึงระบบที่มีความสำคัญสูงต่อไปได้ โดยไม่ต้องอาศัยเทคนิคในการ Hack ระบบแต่อย่างใดเลย

Vickery นั้นเป็นผู้ที่ค้นพบข้อมูลรั่วไหลมาหลายต่อหลายครั้งจนมีชื่อเสียงโด่งดัง ไม่ว่าจะเป็นกรณีของฐานข้อมูลผู้ลงคะแนนเสียงในสหรัฐกว่า 191 ล้านรายเมื่อปี 2015, ฐานขจ้อมูลผู้ใช้งาน MacKeeper 13 ล้านรายเมื่อปี 2015, ฐานข้อมูล River City Media (RCM) ที่บันทึกข้อมูลของผู้ใช้งานไว้กว่า 1,400 ล้านรายการเมื่อเร็วๆ นี้ และกรณีอื่นๆ อีกมากมาย

ปัจจุบันทั้ง NGA และ Booz Allen Hamilton เองต่างก็กำลังสืบสวนและแก้ไขปัญหาร่วมกันอยู่ และระบุว่าที่ผ่านมายังไม่มีใครนำข้อมูลที่รั่วไหลเหล่านี้ไปใช้โจมตีหรือขโมยข้อมูลความลับแต่อย่างใด

ก็ถือเป็นอีกบทเรียนที่ดีสำหรับเหล่าองค์กรต่างๆ ที่มีการจ้าง Contractor ภายนอกเข้ามาทำงาน ที่ควรจะตรวจสอบการทำงานและควบคุมการนำข้อมูลไปใช้ในกรณีต่างๆ ให้มีความรัดกุมในแง่ของความมั่นคงปลอดภัยด้วย โดยเฉพาะการใช้งาน Cloud นั้นก็ควรใช้ด้วยความระมัดระวัง และมีความรู้ที่ถูกต้องครบถ้วนในเทคโนโลยีที่กำลังใช้งานอยู่ครับ

ที่มา : techtalkthai

ลิงค์ : https://www.techtalkthai.com/us-defense-agency-information-was-leaked-on-amazon-aws-by-contractor/

Sensitive files linked to the United States intelligence agency were reportedly left on a public Amazon server by one of the nation’s top intelligence contractor without a password, according to a new report.

UpGuard cyber risk analyst Chris Vickery discovered a cache of 60,000 documents from a US military project for the National Geospatial-Intelligence Agency (NGA) left unsecured on Amazon cloud storage server for anyone to access.

The documents included passwords to a US government system containing sensitive information, and the security credentials of a senior employee of Booz Allen Hamilton, one of the country’s top defense contractors.

Although there wasn’t any top secret file in the cache Vickery discovered, the documents included credentials to log into code repositories that could contain classified files and other credentials.

Master Credentials to a Highly-Protected Pentagon System were Exposed

Roughly 28GB of exposed documents included the private Secure Shell (SSH) keys of a Booz Allen employee, and a half dozen plain text passwords belonging to government contractors with Top Secret Facility Clearance, Gizmodo reports.

What’s more? The exposed data even contained master credentials granting administrative access to a highly-protected Pentagon system.

The sensitive files have since been secured and were likely hidden from those who didn’t know where to look for them, but anyone, like Vickery, who knew where to look could have downloaded those sensitive files, potentially allowing access to both highly classified Pentagon material and Booz Allen information.

“In short, information that would ordinarily require a Top Secret-level security clearance from the DoD was accessible to anyone looking in the right place; no hacking was required to gain credentials needed for potentially accessing materials of a high classification level,” Vickery says.

Vickery is reputed and responsible researcher, who has previously tracked down a number of exposed datasets on the Internet. Two months ago, he discovered an unsecured and publicly exposed database, containing nearly 1.4 Billion user records, linked to River City Media (RCM).

Vickery is the one who, in 2015, reported a huge cache of more than 191 Million US voter records and details of nearly 13 Million MacKeeper users.

Both NGA and Booz Allen are Investigating the Blunder

The NGA is now investigating this security blunder.

“We immediately revoked the affected credentials when we first learned of the potential vulnerability,” the NGA said in a statement. “NGA assesses its cyber security protections and procedures constantly with all of its industry partners. For an incident such as this, we will closely evaluate the situation before determining an appropriate course of action.”

However, Booz Allen said the company is continuing with a detailed forensic investigation about the misstep.

“Booz Allen takes any allegation of a data breach very seriously, and promptly began an investigation into the accessibility of certain security keys in a cloud environment,” a Booz Allen spokesperson told Gizmodo.

“We secured those keys, and are continuing with a detailed forensic investigation. As of now, we have found no evidence that any classified information has been compromised as a result of this matter.”

Booz Allen Hamilton is the same consulting firm that employed whistleblower Edward Snowden when he disclosed the global surveillance conducted by the NSA. It is among top 100 US federal contractor and once described as “the world’s most profitable spy organisation.”

from : The Hack News

Link : https://thehackernews.com/2017/05/us-defense-contractor.html

Author: Webmaster

US Defense Contractor left Sensitive Files on Amazon Server Without Password

Master Credentials to a Highly-Protected Pentagon System were Exposed

Both NGA and Booz Allen are Investigating the Blunder

Author: Webmaster

ข้อมูลสำคัญของหน่วยงานความมั่นคงสหรัฐรั่วนับแสนรายการ ถูก Contractor ปล่อยสาธารณะบน AWS

Author: Webmaster

Related posts

US Defense Contractor left Sensitive Files on Amazon Server Without Password

Master Credentials to a Highly-Protected Pentagon System were Exposed

Both NGA and Booz Allen are Investigating the Blunder

Author: Webmaster

Related posts