Adversis vừa phát hiện ra hơn 90 công ty có tài khoản doanh nghiệp trên ứng dụng đám mây Box có khả năng bị rò rỉ thông tin nhạy cảm.
Các nhà nghiên cứu bảo mật của công ty an ninh mạng Adversis cho biết, dù dữ liệu được lưu trữ trong tài khoản doanh nghiệp trên ứng dụng Box mặc định là riêng tư, nhưng người dùng có thể chia sẻ tệp và thư mục với bất cứ ai chỉ bằng một đường link duy nhất. Những thông tin này rất dễ bị người khác truy cập vào.
Adversis đã kiến nghị quản trị viên của Box nên cấu hình lại quyền truy cập mặc định của các liên kết, đề phòng trường hợp dữ liệu bị lộ ra ngoài. Sau khi sử dụng tập lệnh quét và liệu kê tài khoản Box, nhà nghiên cứu phát hiện ra hơn 90 công ty có thư mục có thể bị truy cập công khai. Ngay cả nhân viên của công ty cũng có thể vô tình làm rò rỉ thông tin khách hàng. Nhưng phía Box lại biện minh rằng phần lớn dữ liệu công khai là hợp pháp và hãng đã tư vấn cho người dùng cách giảm thiểu rủi ro.
Các nhà nghiên cứu bảo mật cho biết họ đã tìm thấy ảnh hộ chiếu, tài khoản ngân hàng, số an sinh xã hội, mật khẩu, danh sách nhân viên, dữ liệu tài chính gồm hóa đơn, biên lai, thông tin khách hàng trong những dữ liệu bị rò rỉ. Sáu tháng trước, Adversis đã liên hệ với Box để cảnh báo về nguy cơ bị đánh cắp thông tin quy mô lớn nhưng đến nay vẫn chưa thấy nhiều cải thiện.
Phát ngôn viên của Box cho biết “Chúng tôi rất coi trọng bảo mật tài khoản người dùng và luôn cố gắng cung cấp nhiều phương thức để khách hàng lựa chọn mức bảo vệ phù hợp. Trong trường hợp doanh nghiệp muốn chia sẻ rộng hơn các tệp hoặc thư mục, họ có thể tùy chỉnh quyền cho liên kết hoặc chọn thành công khai. Chúng tôi đang thực hiên các bước để làm cho những cài đặt này được rõ ràng, giúp mọi người hiểu rõ về cách chia sẻ dữ liệu và giảm khả năng rò rỉ thông tin ngoài ý muốn, bao gồm chính sách quản trị, giới thiệu cài đặt bổ sung”.
Adversis khuyến cáo những tổ chức, công ty đang sử dụng nền tảng đám mây Box nên đào tạo nhân viên cách chia sẻ liên kết cẩn thận hơn hoặc xem xét lựa chọn sử dụng dịch vụ lưu trữ đám mây khác. Hiện tại, một số doanh nghiệp lớn như Apple, truyền hình Discovery, PR Edelman, Herbalife… đều đã cấu hình lại tài khoản doanh nghiệp của mình để khắc phục lỗi và ngăn truy cập sau khi có thông báo rò rỉ dữ liệu.
Theo: TechRadar
