На сайте производителя фотобудок обнаружена ошибка, из-за которой стали видны фотографии клиентов.
По данным исследователя в области информационной безопасности, компания, производящая фотобудки, публикует в интернете фотографии и видео своих клиентов из-за простой уязвимости на своем веб-сайте, где хранятся эти файлы.
Исследователь, известный под псевдонимом Zeacer, сообщил TechCrunch о проблеме безопасности в конце ноября, после того как в октябре сообщил об уязвимости компании Hama Film, производителю фотобудок, имеющему франчайзинговые представительства в Австралии, Объединенных Арабских Эмиратах и США, но ответа не получил.
Зисер поделился с TechCrunch образцом фотографий, взятых с серверов Hama Film, на которых изображены группы явно молодых людей, позирующих в фотобудках. Фотобудки Hama Film не только распечатывают фотографии, как обычные фотобудки, но и загружают фотографии клиентов на серверы компании.
Компания Vibecast, владеющая Hama Film, пока не ответила на его сообщения, в которых он уведомил компанию о проблемах. Vibecast также не ответила на несколько запросов о комментариях от TechCrunch, и соучредитель Vibecast Джоэл Парк не ответил на сообщение, которое мы отправили через LinkedIn.
По состоянию на пятницу исследователь заявил, что компания до сих пор полностью не устранила уязвимость в системе безопасности и продолжает раскрывать данные клиентов. В связи с этим TechCrunch не публикует конкретные подробности об уязвимости.
Когда Зисер впервые обнаружил эту уязвимость, он отметил, что, по всей видимости, фотографии удалялись с серверов производителя фотобудок каждые две-три недели.
Теперь, по его словам, фотографии, хранящиеся на серверах, удаляются через 24 часа, что ограничивает количество одновременно доступных изображений. Но хакер все еще может использовать обнаруженную им ежедневно уязвимость и загрузить содержимое каждой фотографии и видео с сервера.
По словам Зисера, до этой недели он однажды видел в интернете более 1000 фотографий стендов Hama Film в Мельбурне.
Этот инцидент — последний пример компании, которая, по крайней мере на некоторое время, не внедряла некоторые базовые и общепринятые методы обеспечения безопасности, такие как ограничение скорости запросов. В прошлом месяце TechCrunch сообщила, что гигант государственных контрактов Tyler Technologies не ограничивал скорость запросов на своих веб-сайтах, используемых судами для управления личной информацией присяжных. Это означало, что любой мог взломать профиль любого присяжного, запустив компьютерный скрипт, способный массово угадывать его дату рождения и легко угадываемый числовой идентификатор.
Источник: techcrunch.com