De ontwikkelaars van contentmanagementsysteem (cms) Joomla hebben 2700 gebruikers gewaarschuwd voor een datalek met onversleutelde back-ups waarbij hun persoonlijke gegevens zijn gelekt. Het gaat om gebruikers met een account op de Joomla Resources Directory, waar partijen hun Joomla-gerelateerde diensten kunnen aanbieden. Joomla is een cms dat door meer dan 1,5 miljoen websites wordt gebruikt.

Via de Joomla Resources Directory (JRD) kunnen organisaties en bedrijven ontwikkelaars en andere partijen zoeken die bij de verdere ontwikkeling van hun Joomla-website kunnen helpen. Het gaat dan bijvoorbeeld om partijen op het gebied van migraties, security, ontwerp, marketing, training en technische ondersteuning. Bij het datalek waarover Joomla bericht werden onversleutelde back-ups van de JRD in de Amazon Web Services S3-bucket van een derde partij opgeslagen.

Via een S3-bucket kunnen organisaties allerlei gegevens in de cloud van Amazon opslaan. De derde partij die de S3-bucket beheerde is eigendom van een voormalige teamleider van de Joomla Resources Directory en ten tijde van het datalek nog steeds lid van het JRD-team. Elke onversleutelde back-up bevatte een volledige kopie van de website. Het gaat onder andere om volledige naam, zakelijke adresgegevens, zakelijk e-mailadres, zakelijk telefoonnummer, bedrijfswebsite, gehasht wachtwoord, ip-adres en andere informatie van 2700 gebruikers die een JRD-account hadden.

De meeste van deze gegevens zijn openbaar en er zijn volgens Joomla geen aanwijzingen dat derde partijen toegang tot de onversleutelde back-ups hebben gekregen. Toch krijgen gebruikers die hun JRD-wachtwoord ook voor andere websites gebruiken het advies het wachtwoord daar te wijzigen. Het datalek kwam na een interne website-audit aan het licht.

Naar aanleiding van het incident zijn er verschillende aanpassingen doorgevoerd. Zo gebruikt de officiële back-upconfiguratie nu volledige encryptie en alleen door de organisatie goedgekeurde locaties. Tevens heeft er een uitgebreide systeemaudit plaatsgevonden waarbij tweefactorauthenticatie is ingeschakeld, niet meer gebruikte en verouderde extensies zijn verwijderd en inactieve gebruikers zijn verwijderd, alsmede toegangsniveaus en gebruikersgroepen. De derde partij waar de back-ups werden opgeslagen is gevraagd die te verwijderen.