Falha de segurança da BMW expôs informações confidenciais da empresa

A exposição de armazenamento em nuvem da BMW em fevereiro de 2024 é um incidente de gerenciamento de segredos e controle de compartimento público, não uma violação de dados de clientes. A TechCrunch e a SOCRadar descrevem um compartimento de armazenamento hospedado no Microsoft Azure no ambiente de desenvolvimento da BMW que estava acessível publicamente e continha chaves privadas, detalhes de acesso a contêineres do Azure, informações sobre serviços em nuvem e credenciais de bancos de dados de desenvolvimento/produção. A BMW confirmou o compartimento do ambiente de desenvolvimento afetado à TechCrunch, disse que nenhum dado de cliente ou pessoal foi impactado e afirmou que o problema foi corrigido no início de 2024. O sinal de inteligência é a lacuna entre tornar um compartimento privado e provar que as credenciais, chaves e acesso à nuvem downstream expostos foram rotacionados, escopados e monitorados.

A divulgação da BMW deve ser lida através do plano de controle de nuvem por trás das operações de software automotivo. O arquivo público se concentra em um compartimento de armazenamento hospedado no Microsoft Azure no ambiente de desenvolvimento da BMW, que estava configurado para acesso público. A SOCRadar indicou que seu pesquisador Can Yoleri descobriu o compartimento durante uma análise em 18 de dezembro de 2023, e a TechCrunch relatou a história em 14 de fevereiro de 2024.

Os elementos expostos não foram descritos como arquivos de clientes. A TechCrunch relatou chaves privadas para os serviços em nuvem da BMW na China, Europa e Estados Unidos, bem como credenciais de login para os bancos de dados de produção e desenvolvimento da BMW. A SOCRadar descreveu informações de acesso a contêineres do Azure, chaves secretas para endereços de compartimentos privados e outros detalhes sobre serviços em nuvem. A BMW declarou à TechCrunch que nenhum dado de cliente ou pessoal foi afetado e indicou que o problema foi resolvido no início de 2024.

Esse limite é importante porque o risco é operacional, e não ditado pela notificação ao consumidor. Um compartimento de desenvolvimento público ainda pode expor segredos que conectam ambientes, regiões ou serviços em nuvem. A superfície de controle inclui a política de acesso público, armazenamento de segredos, rotação de credenciais, separação desenvolvimento/produção, inventário de nuvem, monitoramento de exposição e a prova de que as chaves descobertas não podem ser reutilizadas após a contenção.

As questões não resolvidas também fazem parte do sinal. As fontes públicas não estabelecem por quanto tempo o compartimento permaneceu acessível, quantos dados estavam acessíveis, se alguma parte utilizou os elementos expostos, se cada credencial foi revogada, ou se a BMW modificou os controles circundantes. Essas questões devem ser acompanhadas através de relatórios posteriores da empresa, do pesquisador ou de fontes de segurança de alta qualidade, em vez de serem preenchidas a partir do título.