Уязвимость в безопасности BMW раскрыла конфиденциальные данные компании

Раскрытие облачного хранилища BMW в феврале 2024 года — это инцидент, связанный с управлением секретами и контролем публичных контейнеров, а не утечка клиентских данных. TechCrunch и SOCRadar описывают контейнер хранения, размещённый в Microsoft Azure в среде разработки BMW, который был публично доступен и содержал закрытые ключи, данные доступа к контейнерам Azure, сведения об облачных сервисах и учётные данные баз данных разработки и продакшена. BMW подтвердил TechCrunch, что пострадавший контейнер находился в среде разработки, заявил, что данные клиентов и персональные данные не затронуты, и сообщил, что проблема была устранена в начале 2024 года. Аналитический сигнал — это разрыв между закрытием контейнера и доказательством того, что раскрытые учётные данные, ключи и последующий облачный доступ были ротированы, разграничены и взяты под мониторинг.

Раскрытие информации в BMW следует рассматривать через контур управления облаком, стоящим за автомобильными программными операциями. Публичное досье сосредоточено на контейнере хранения, размещённом в Microsoft Azure в среде разработки BMW, который был настроен на публичный доступ. SOCRadar сообщил, что его исследователь Can Yoleri обнаружил контейнер при сканировании 18 декабря 2023 года, а TechCrunch рассказал об этом 14 февраля 2024 года.

Раскрытые элементы не описывались как клиентские файлы. TechCrunch сообщил о закрытых ключах для облачных сервисов BMW в Китае, Европе и США, а также об учётных данных для входа в производственные базы данных и базы данных разработки BMW. SOCRadar описал данные доступа к контейнерам Azure, секретные ключи для адресов частных контейнеров и другие сведения об облачных сервисах. BMW заявил TechCrunch, что данные клиентов и персональные данные не пострадали, и сообщил, что проблема была решена в начале 2024 года.

Эта граница важна, поскольку риск носит операционный характер, а не определяется уведомлением потребителей. Публичный контейнер среды разработки может по-прежнему раскрывать секреты, которые связывают среды, регионы или облачные сервисы. Контур контроля включает политику публичного доступа, хранение секретов, ротацию учётных данных, разделение сред разработки и продакшена, инвентаризацию облака, мониторинг раскрытия и доказательство того, что обнаруженные ключи не могут быть использованы повторно после локализации инцидента.

Неразрешённые вопросы также являются частью сигнала. Публичные источники не устанавливают, как долго контейнер оставался доступным, какой объём данных был доступен, использовал ли кто-либо раскрытые элементы, были ли отозваны все учётные данные и изменила ли BMW сопутствующие меры контроля. За этими вопросами нужно следить по дальнейшим отчётам компании, исследователя или качественным источникам по безопасности, а не заполнять пробелы из заголовка.