Amerikaanse verzekeraar lekt klantdata via onbeveiligde NAS
De Amerikaanse verzekeringsmaatschappij Maryland Joint Insurance Association heeft de persoonlijke gegevens van duizenden klanten via een onbeveiligd NAS-systeem gelekt, alsmede gevoelige bedrijfsgegevens zoals wachtwoorden voor allerlei diensten.
Het datalek werd ontdekt door Chris Vickery van securitybedrijf UpGuard. Op 19 januari ontdekte Vickery het NAS-systeem na het scannen van ip-adressen op poort 873. Poort 873 is de standaardpoort voor het rsync-protocol, dat voor replicatie en back-ups wordt gebruikt. De poort stond niet open bij de verzekeraar, maar op hetzelfde ip-adres bleek wel poort 9000 open te staan, aldus Vickery tegenover Threatpost. Deze poort wordt vaak gebruikt als webinterface voor NAS-systemen.
Door via zijn browser verbinding met de poort te maken kreeg de onderzoeker toegang tot het systeem. Er was geen authenticatie vereist. Het voor iedereen toegankelijke NAS-systeem bevatte tientallen gigabytes aan data. Het ging onder andere om namen, adresgegevens, telefoonnummers, geboortedata, volledige social security nummers en verzekeringsclaims, alsmede financiële gegevens zoals bankrekeningnummers, afbeeldingen van cheques en verzekeringsnummers.
Naast de klantgegevens trof Vickery ook gevoelige bedrijfsgegevens aan, waaronder wachtwoorden voor remote desktops, e-mailaccounts en ISO ClaimSearch. Dit is een verzekeringsdatabase van een derde partij die tientallen miljoenen rapporten over verzekeringsclaims bevat. Na te zijn ingelicht heeft de verzekeraar maatregelen genomen. Hoe het kon dat de poort van het NAS-systeem open stond laat het bedrijf niet weten, maar Vickery spreekt van een misconfiguratie.
Misconfiguraties, wellicht de verkeerde mensen in dienst?
Big data, vaak een branche, die wacht op een volgende big fail.
Automatiseren is een leuk vak, maar je moet er ook zelf bij na blijven denken.
Je bent niet ingelogd en reageert "Anoniem". Dit betekent dat Security.NL geen accountgegevens (e-mailadres en alias) opslaat voor deze reactie. Je reactie wordt niet direct geplaatst maar eerst gemodereerd. Als je nog geen account hebt kun je hier direct een account aanmaken. Wanneer je Anoniem reageert moet je altijd een captchacode opgeven.
Triage Officer
bij het NCSC
Voor de komende jaren staat er het nodige te veranderen voor het NCSC. Het NCSC kent een uitdagende groei- en ontwikkelambitie. Dit biedt volop kansen en mogelijkheden. De doorontwikkeling van onze waakdienst is daarvan een erg belangrijke! Hiervoor zoeken wij meerdere Triage Officers, die de ogen en oren van cybersecurity Nederland worden. Welkom bij #TeamNCSC!
Technical Security Trainer
Is security je passie? Dan ben je bij ons aan het juiste adres. Wij zijn 24/7, 365 dagen per jaar bezig met security. Je werkt in een team van internationaal bekende security-experts, het delen van kennis staat centraal. We zijn een organisatie met een informele bedrijfscultuur. Security is serious fun! Als technical security trainer geef je hands-on security trainingen op basis van de Certified Secure challenges en certificeringen.