En iyi çevrimiçi mağazaların çoğu, özel müşteri verilerini ifşa ederek hem işletmeyi hem de kullanıcılarını kimlik hırsızlığı riskine sokuyor (yeni sekmede açılır)gasp saldırıları ve diğer siber güvenlik olayları, yeni araştırmalar iddia etti.
2.000’den fazla çevrimiçi mağazayı analiz eden Sansec, 250’sinin veya yaklaşık %12’sinin yedeklerini nereye bakacağını bilen herkesin kolayca erişebileceği ortak klasörlerde tuttuğunu buldu.
Çoğunlukla .ZIP, .SQL ve .TAR arşivlerinden oluşan yedekler, veritabanı parolaları, gizli yönetici URL’leri, dahili API anahtarları ve kişisel olarak tanımlanabilir müşteri bilgileri gibi hassas bilgiler içeriyordu.
Maliyetli hatalar
Sansec, işletmelerin bu yedekleri ihmal veya yanlışlıkla halka açık tuttuklarını söylüyor.
Aynı zamanda siber suçlular, işletmelerin bazen bu hataları yaptıklarının ve her zaman yeni kurbanlar aradıklarının gayet iyi farkındadır.
Sansec raporunda, “Çevrimiçi suçlular, parolalar ve diğer hassas bilgiler içerdikleri için bu yedekleri aktif olarak tarıyorlar” dedi. “Açığa çıkan sırlar, mağazaların kontrolünü ele geçirmek, tüccarları gasp etmek ve müşteri ödemelerini engellemek için kullanıldı.”
BleepingComputer raporunda, açığa çıkan yedekleri aramanın otomatikleştirilmiş bir uygulama olduğunu söyledi. Saldırganlar, sitenin adını ve genel DNS verilerini kullanarak, örneğin “/db/staging-SITENAME.zip” gibi olası adların farklı kombinasyonlarını arar. Bu taramalar ucuzdur ve sitenin performansına zarar vermez, bu nedenle bilgisayar korsanları ellerinden geldiğince tarama yapmakta özgürdür.
Sansec, tehdidin üstesinden gelmek için web sitesi sahiplerinin ve BT ekiplerinin sitelerini, yanlışlıkla ve ihmalden kaynaklanan veritabanları için düzenli olarak analiz etmesi gerektiğini söylüyor. Böyle bir veritabanı bulmaları durumunda, yönetici hesaplarını ve veritabanı parolalarını sıfırlamaları ve tüm çalışan hesaplarında MFA’yı hemen etkinleştirmeleri önerilir.
Dahası, BT ekipleri herhangi birinin yedeği indirip indirmediğini görmek için web sunucusu günlüklerini kontrol edebilir. Herhangi bir üçüncü tarafın bunlara erişip erişmediğini görmek için yönetici hesabı günlüklerini de kontrol edebilirler.
Aracılığıyla: BleepingBilgisayar (yeni sekmede açılır)