ثغرة أمنية في BMW تعرض معلومات حساسة للشركة

إن تعرض تخزين BMW السحابي في فبراير 2024 هو حادث إدارة أسرار وتحكم في حاويات عامة، وليس خرقًا لبيانات العملاء. تصف TechCrunch و SOCRadar حاوية تخزين مستضافة على Microsoft Azure في بيئة تطوير BMW، كانت متاحة للعامة وتحتوي على مفاتيح خاصة، تفاصيل الوصول إلى حاويات Azure، معلومات عن الخدمات السحابية وبيانات اعتماد قواعد بيانات التطوير والإنتاج. أكدت BMW لـ TechCrunch الحاوية المتأثرة في بيئة التطوير، وقالت إنه لم تتأثر أي بيانات عملاء أو شخصية، وأن المشكلة تم حلها في بداية 2024. الإشارة الاستخباراتية هي الفجوة بين جعل الحاوية خاصة وإثبات أن بيانات الاعتماد والمفاتيح والوصول السحابي اللاحق المكشوفة تم تدويرها وتحديد نطاقها ومراقبتها.

يجب قراءة الكشف من BMW من خلال خطة التحكم السحابي خلف عمليات البرمجيات في السيارات. يركز الملف العام على حاوية تخزين مستضافة على Microsoft Azure في بيئة التطوير لـ BMW، والتي تم تكوينها للوصول العام. ذكرت SOCRadar أن باحثها Can Yoleri اكتشف الحاوية أثناء تحليل في 18 ديسمبر 2023، وقصت TechCrunch القصة في 14 فبراير 2024.

العناصر المكشوفة لم توصف بأنها ملفات عملاء. أشارت TechCrunch إلى مفاتيح خاصة لخدمات BMW السحابية في الصين وأوروبا والولايات المتحدة، بالإضافة إلى معلومات تسجيل الدخول لقواعد بيانات الإنتاج والتطوير لـ BMW. وصفت SOCRadar معلومات الوصول إلى حاويات Azure، ومفاتيح سرية لعناوين حاويات خاصة، وتفاصيل أخرى عن الخدمات السحابية. صرحت BMW لـ TechCrunch أنه لم تتأثر أي بيانات عملاء أو شخصية، وأشارت إلى أن المشكلة تم حلها في بداية عام 2024.

هذا الحد مهم لأن الخطر تشغيلي وليس مفروضًا بواسطة إخطار المستهلك. الحاوية العامة للتطوير قد لا تزال تكشف أسرارًا تربط البيئات أو المناطق أو الخدمات السحابية. تشمل سطح التحكم سياسة الوصول العام، تخزين الأسرار، تدوير بيانات الاعتماد، الفصل بين التطوير والإنتاج، جرد السحابة، مراقبة التعرض، وإثبات أن المفاتيح المكتشفة لا يمكن إعادة استخدامها بعد الاحتواء.

الأسئلة غير المحلولة هي أيضًا جزء من الإشارة. المصادر العامة لا تثبت كم من الوقت بقيت الحاوية قابلة للوصول، كمية البيانات التي كانت متاحة، إذا استخدم طرف العناصر المكشوفة، إذا تم إلغاء كل بيانات الاعتماد، أو إذا قامت BMW بتعديل الضوابط المحيطة. هذه الأسئلة يجب متابعتها من خلال تقارير لاحقة من الشركة أو الباحث أو مصادر أمنية عالية الجودة، بدلاً من ملئها من العنوان.