È stata identificata una significativa violazione dei dati che coinvolge un'azienda statunitense di tecnologia governativa dopo che il ricercatore di cybersecurity Jeremiah Fowler ha scoperto un database aperto accessibile a chiunque disponesse di un browser web. Il repository esposto, collegato a CitySourced, conteneva circa 42 milioni di documenti e 450.000 file JSON che custodivano informazioni personali identificabili (PII) in testo semplice. Sebbene i registri consistessero principalmente di immagini relative a reclami o rapporti su violazioni di codici, l'analisi ha rivelato che includevano anche nomi, indirizzi postali, indirizzi email e numeri di telefono degli individui.
Il database conteneva migliaia di registrazioni interne datate dal 2016 al 2026, presentando un rischio sostanziale poiché tali dati sono spesso utilizzati dai criminali informatici per campagne di phishing mirate o venduti sul dark web. Fowler ha notato che il repository conteneva varie directory di applicazioni, tra cui Api, Customers e FileStorage, insieme a numerosi file .sdk e .exe che sembravano fuori luogo e potrebbero suggerire un tentativo di impiantare malware. CitySourced, fondata nel 2009 e successivamente acquisita da Granicus dopo la fusione con Rock Solid Technologies, sviluppa software che consente ai residenti di segnalare problemi locali come buche o lampioni guasti alle autorità municipali.
Dopo essere stata notificata della vulnerabilità, CitySourced ha protetto il database e ha riconosciuto gli sforzi del ricercatore. Una dichiarazione dell'azienda ha indicato che Granicus aveva esaminato le informazioni fornite, condotto un'indagine interna e stava intraprendendo azioni per affrontare il problema. Fowler ha sottolineato che, sebbene non potesse determinare se un contraente di terze parti gestisse l'infrastruttura, l'incidente evidenzia i rischi continui associati a un cloud storage configurato in modo errato.
La violazione sottolinea la prevalenza delle perdite di dati causate da errori di configurazione, dove le aziende potrebbero erroneamente presumere che i loro fornitori cloud siano esclusivamente responsabili della sicurezza o rimanere ignare dei dati esposti. Per mitigare tali rischi, Fowler raccomanda che le organizzazioni segmentino gli ambienti dei clienti e i dati interni per garantire l'isolamento degli inquilini. Ha inoltre consigliato che i sistemi di archiviazione, i backup e i dati sensibili devono essere crittografati e protetti contro l'accesso non autorizzato attraverso controlli di accesso robusti. Per gli individui, il ricercatore ha suggerito di mantenere lo scetticismo verso le email non sollecitate contenenti link o allegati, data la probabilità che i dati personali siano già stati compromessi in violazioni passate.
Fonti: TechRadar.