Обещать - не значит жениться. Защищать - не значит обеспечивать.

Вероятно, таким лозунгом руководствовалась нидерландская компания-разработчик программного обеспечения ENC Security, которая как выяснилось, с мая 2021 года допустила слив важных бизнес-данных.

В чем собственно соль. Когда вы покупаете USB-ключ Sony, Lexar или Sandisk или любое другое устройство хранения, оно как правило поставляется с решением для шифрования и обеспечения безопасности ваших данных.

Так вот, нидерландский поставщик с 12 миллионами пользователей по всему миру предлагает такое решение для «защиты данных военного уровня» с помощью своего популярного программного обеспечения для шифрования DataVault, собственно, чьи файлы конфигурации и сертификаты утекли.

О проблеме сообщили исследователи Cybernews, которые обнаружили просочившиеся данные и забили тревогу, так как такой кладезь - золотая жила для злоумышленников.

Всему виной была неправильная конфигурация стороннего поставщика данные которого хранились внутри уязвимого сервера с учетными данными Simple Mail Transfer Protocol (SMTP) для каналов продаж, ключей Adyen для платежной платформы, ключей API Mailchimp для почтового маркетинга, лицензионные ключи API платежей, коды аутентификации сообщений HMAC, а также открытые и закрытые ключи, хранящиеся в формат .pem.

Данные были доступны с 27 мая 2021 года по 9 ноября 2022 года.

Сервер был закрыт после того, как Cybernews сообщил об уязвимости в ENC Security, но по словам экспертов, доступность данных вызывает серьезное беспокойство, поскольку злоумышленники могли и могут использовать вышеупомянутые данные для различных кибератак — от фишинга и махинаций с подделкой счетов-фактур до атак с ransomware.

В ENC Security заявили, что оперативно предприняли необходимые меры после анализа проблемы и уязвимость, связанная с неправильной настройкой сторонним поставщиком, была устранена, однако имел ли доступ к этому сливу кто-то, кроме Cybernews доподлинно неизвестно.