Sobota, 12 lipca 2008 :: 17:10:45
Z PEKAO wyciekły setki poufnych informacji!
Szczegółowe dane osobowe i zdjęcia tysiąca osób "nieświadomie" udostępnił w internecie bank PEKAO S.A. Wszystko za sprawą serwisu zainwestujwprzyszlosc.pl skierowanych do młodych ludzi ofert stażu. Setki listów motywacyjnych i CV pełne danych osobowych można znaleźć pod adresem
http://www.zainwestujwprzyszlosc.pl/files/0/
Obecnie, serwis Zainwestuj W Siebie nie jest dostępny. Na (nie)szczęście kopie dokumentów zaindeksowało Google. Aby je przejrzeć należy zadać pytanie: site:zainwestujwprzyszlosc.pl inurl:files
Ci, którzy byli na moim wykładzie na konferencji Infoshare, wiedzą, że aby odczytać z pozoru "niedostępne" dane, należy użyć techniki zwanej cache-sliding (czyli rekurencyjnego odpytywania o treść z końca googlowej zajawki danego wyniku wyszukiwania – dzięki temu, "przewija się" zajawkę i czyta zaindeksowany, a nieudostępniony dokument).
W wywiadzie dla Polityki, Arkadiusz Mierzwa, dyrektor biura prasowego PEKAO SA tak opisał wpadkę:
- To pomysłowość internautów - trzeba było przecież specjalnie wstukać określony adres. Można było oczywiście wymyślić bardziej skomplikowany. Ale musi być jakieś miejsce na serwerze, gdzie fizycznie przechowywane są takie dane.
No właśnie, miejsce musi być, więc zapamiętajcie sobie, że nie wolno wstukiwać odpowiednich adresów! ;-) Przecież administrator serwera nie musi wiedzieć, jak go poprawnie skonfigurować. Ach, i pamiętajcie łączyć się wyłącznie przez serwery proxy — PEKAO już zapowiedziało, że dojdzie do adresów IP internautów, którzy — tu cytat — "bezprawnie ściągnęli dane" i przekaże je Policji...
Bankowo udostępnimy Twoje dane osobowe...
Strona WWW, podobnie jak każdy projekt informatyczny, może być pełna błędów. Bank, jak każda firma, może popełnić wpadkę... Dziwi mnie jednak to, że do tej pory w Polsce nie wykorzystuje się kryptografii do bezpiecznego przechowywania poufnych danych...
Zresztą nie tylko w Polsce – ileż to rządowych dokumentów zostało straconych w nieodpowiednio zabezpieczonych i zaginionych przesyłkach kurierskich w Wielkiej Brytanii? Na szczęście Szkocja radzi sobie troche lepiej – dzięki temu mogę spać spokojnie, bo moje dane osobowe i karta pacjenta, chociaż zgubione, są zaszyfrowane.
PEKAO – Zainwestuj w bezpieczeństwo!
Ciekawy jestem, jak dalej od strony PijaRowej bank PEKAO rozegra całą sprawę... Niewykluczone jest bowiem, że osoby, których dane są dostępne w internecie zgłoszą się z pozwami. Nie od dziś wiadomo, że banki pieniądze mają... Nie mają natomiast żadnego planu reagowania na tego typu incydenty - od serwera zazwyczaj wyciąga się wtyczkę. Tak było i w tym przypadku. Smutne...
Jak na ironię, w niedawnym raporcie o polskich bankach internetowych, przeczytać można było, że PEKAO w ogóle nie jest widoczne w sieci... A tu proszę, okazuje się, że jest... tylko nie od tej strony, od której powinno ;-)
PS: Ponoć stroną opiekował się nie sam bank, a agencja Possum Communication — czy tylko mnie się wydaje, że nazwa adekwatna do sytuacji? :). Domyślam się, że podobne rozwiązania odnośnie przechowywania danych zostały wykorzystane w innych projektach tworzonych przez tę firmę. Ciekawe, czy tzw. "cyberprzestępcy" już je badają... :>
P.P.S.: Nie sądziłem, że są jeszcze osoby, które w CV wpisują "znajomość Microsoft Word" :-)
• Następny post:
Jestem za karaniem piratów!
• Poprzedni post:
Barcamp w Poznaniu i Infoshare w Gdańsku
Chcesz być informowany o kolejnych wpisach na ten temat?
Kanał RSS: kliknij tutaj. Subskrybcja poprzez e-mail: kliknij tutaj.