Grootschalige blootstelling gevoelige data door verkeerd geconfigureerde cloudopslag
Een aanzienlijk aantal cloudopslagdiensten zoals Amazon S3, Google Cloud Storage en Azure Blob is onveilig ingesteld, blijkt uit onderzoek door securityspecialisten van Vooruit. Hierdoor zijn gevoelige persoonsgegevens publiek toegankelijk.
Binnen twee uur tijd lokaliseerde het team documenten als paspoorten uit meer dan 75 landen, identiteitskaarten, geboorteaktes, medische dossiers, adresbewijzen en bankafschriften. Bij een deel van de opslaglocaties (buckets) was het zelfs mogelijk om data te wijzigen zonder authenticatie. Toegang vereiste geen technische kennis: een webbrowser was voldoende.
Earth Grob, Cybersecurity Business Unit Manager bij Vooruit, waarschuwt voor de gevolgen: “Dit gaat veel verder dan een datalek. In het tijdperk van AI zijn deze gegevens een goudmijn voor identiteitsfraude, deepfakes en synthetische identiteiten.” Volgens het onderzoek kunnen de documenten met deepfake-tools en morphingtechnieken worden misbruikt om digitale en fysieke verificatiesystemen te omzeilen, met risico’s voor financiële instellingen, overheden en bedrijven.
Aanbevelingen voor organisaties
Vooruit adviseert om:
- de standaardinstelling van opslaglocaties op private te zetten,
- toegangsmachtigingen (IAM-instellingen) te baseren op het least-privilege-principe (minimale rechten per gebruiker),
- regelmatig te controleren op onbedoelde blootstelling van data.
De bevindingen zijn gebundeld in het preliminaire rapport ‘Pandora’s Bucket’, dat voorbeelden en preventietips bevat. Het rapport is hier te vinden.
Meer over Cloud
Over Wouter Hoeffnagel
