Ein erheblicher Datenschutzverstoß bei einem US-amerikanischen Regierungs-Technologieunternehmen wurde identifiziert, nachdem der Cybersecurity-Forscher Jeremiah Fowler eine offene Datenbank entdeckt hatte, die für jeden mit einem Webbrowser zugänglich war. Das exponierte Repository, das mit CitySourced verknüpft war, enthielt etwa 42 Millionen Dokumente und 450.000 JSON-Dateien mit persönlich identifizierbaren Informationen (PII) im Klartext. Während die Datensätze hauptsächlich Bilder zu Beschwerden oder Berichten über Code-Verstöße enthielten, zeigte die Analyse, dass sie auch Namen, Postadressen, E-Mail-Adressen und Telefonnummern von Einzelpersonen umfassten.
Die Datenbank hielt Tausende interner Aufzeichnungen aus dem Zeitraum von 2016 bis 2026 vor, was ein erhebliches Risiko darstellt, da solche Daten oft von Cyberkriminellen für gezielte Phishing-Kampagnen genutzt oder im Darknet verkauft werden. Fowler stellte fest, dass das Repository verschiedene Anwendungsdirektorien enthielt, darunter Api, Customers und FileStorage, sowie mehrere .sdk- und .exe-Dateien, die fehl am Platz wirkten und auf einen Versuch hindeuten könnten, Malware zu platzieren. CitySourced, gegründet im Jahr 2009 und später von Granicus übernommen, nachdem es sich mit Rock Solid Technologies verschmolzen hatte, entwickelt Software, die es Bewohnern ermöglicht, lokale Probleme wie Schlaglöcher oder defekte Straßenlaternen bei den kommunalen Behörden zu melden.
Nach Benachrichtigung über die Schwachstelle sicherte CitySourced die Datenbank und erkannte die Bemühungen des Forschers an. Eine Erklärung des Unternehmens gab an, dass Granicus die bereitgestellten Informationen überprüft, eine interne Untersuchung durchgeführt und Maßnahmen zur Behebung des Problems eingeleitet hatte. Fowler betonte, dass er zwar nicht feststellen konnte, ob ein externer Auftragnehmer die Infrastruktur verwaltete, der Vorfall jedoch die anhaltenden Risiken im Zusammenhang mit falsch konfiguriertem Cloud-Speicher unterstreicht.
Die Datenschutzverletzung verdeutlicht die Häufigkeit von Datenlecks, die durch Konfigurationsfehler verursacht werden, bei denen Unternehmen fälschlicherweise davon ausgehen, dass ihre Cloud-Anbieter allein für die Sicherheit verantwortlich sind, oder sich nicht bewusst sind, dass Daten exponiert wurden. Um solche Risiken zu mindern, empfiehlt Fowler Organisationen, Kundenumgebungen und interne Daten zu segmentieren, um eine Isolierung der Mandanten sicherzustellen. Er riet ferner, Speichersysteme, Backups und sensible Daten zu verschlüsseln und durch robuste Zugriffskontrollen vor unbefugtem Zugriff zu schützen. Für Einzelpersonen schlug der Forscher vor, gegenüber ungefragten E-Mails mit Links oder Anhängen skeptisch zu bleiben, da die Wahrscheinlichkeit besteht, dass persönliche Daten bereits bei früheren Datenschutzverletzungen kompromittiert wurden.
Quellen: TechRadar.