Разработчик криптографической защиты 1,5 года сливал свои ключи и сертификаты

[Artifact]

Из-за неправильной конфигурации USB-носители станут источником массовых фишинговых атак.

Исследовательская группа Cybernews обнаружила, что нидерландская компания-разработчик ПО для шифрования ENC Security 1,5 года сливала свои файлы конфигурации и сертификаты. Компания заявила, что проблема возникла из-за неправильной конфигурации стороннего поставщика, который уже исправил ее сразу после получения уведомления.
«Данные, которые просачивались около 1,5 лет, — это золотая жила для злоумышленников», — сказал исследователь Cybernews Мартинас Варейкис.
Утекшие данные включали:

• учетные данные Simple Mail Transfer Protocol (SMTP) для каналов продаж;

• ключи Adyen единой платежной платформы;

• API-ключи Mailchimp компании почтового маркетинга;

• API-ключи платежей;

• коды аутентификации сообщений HMAC;

• ключи и сертификаты, хранящиеся в формате «.pem».

Данные были доступны с 27 мая 2021 года по 9 ноября 2022 года. Сервер был закрыт после того, как Cybernews сообщил об уязвимости в ENC Security.

По словам Варейкиса, утечка информации вызывает беспокойство, поскольку злоумышленники могут использовать эти данные для различных кибератак — от фишинга до вымогательских атак.
Например, каналы продаж могут использоваться для фишинга клиентов путем отправки им поддельных счетов-фактур или распространения вредоносного ПО через доверенные адреса электронной почты.
API-Ключи Mailchimp позволяют с настоящей электронной почты компании создавать массовые маркетинговые рассылки и «собирать» потенциальных клиентов.
А файлы «.pem» (формат файла для хранения и отправки криптографических ключей и сертификатов) могут открыть доступ к серверу или даже привести к захвату сервера. А API-ключи платежей могут раскрыть конфиденциальную информацию о клиенте.
USB-ключи Sony, Lexar, Sandisk и другие устройства хранения поставляются с программой для шифрования данных, разработанной компанией ENC Security. Нидерландская компания с 12 млн. пользователей по всему миру предлагает решения «защиты данных военного уровня» с помощью своего популярного ПО для шифрования DataVault. ECN Security сообщает, что ее продукт загружается более 2000 раз в месяц.