Breșa de securitate expune date sensibile ale transferurilor bancare în India
O breșă de date provenită de la un server cloud nesecurizat a expus sute de mii de documente sensibile legate de transferurile bancare din India, inclusiv numere de cont, valori ale tranzacțiilor și detalii de contact ale indivizilor.
Descoperirea breșei
Cercetătorii de la compania de securitate cibernetică UpGuard au descoperit, la sfârșitul lunii august, un server de stocare Amazon accesibil public, care conținea 273.000 de documente PDF referitoare la transferurile bancare ale clienților indieni. Aceste fișiere expuse conțineau formulare de tranzacție completate, destinate procesării prin intermediul National Automated Clearing House (NACH), un sistem centralizat utilizat de bănci în India pentru a facilita tranzacții recurente de mare volum, cum ar fi salariile, plățile pentru împrumuturi și facturile de utilități.
Instituțiile implicate
Datele erau legate de cel puțin 38 de bănci și instituții financiare diferite. În urma descoperirii, UpGuard a notificat Aye Finance, o instituție bancară indiană care a solicitat un IPO de 171 de milioane de dolari anul trecut, precum și National Payments Corporation of India (NPCI), organismul guvernamental responsabil pentru gestionarea NACH.
Responsabilitatea breșei
După publicarea inițială a informațiilor, compania fintech indiană NuPay a confirmat că a “rezolvat o lacună de configurare într-un bucket S3 Amazon” care conținea formularele de transfer bancar. Deși datele au fost securizate, nu a fost clar de ce acestea au fost lăsate public accesibile. UpGuard a notat că, dintr-un eșantion de 55.000 de documente analizate, mai mult de jumătate menționau numele Aye Finance.
Reacțiile și măsurile luate
După ce UpGuard a alertat CERT-In, echipa de răspuns la incidente informatice din India, datele expuse au fost securizate rapid. Cu toate acestea, nu a fost clar cine era responsabil pentru breșa de securitate. Reprezentanții Aye Finance și NPCI au negat că ar fi sursa breșei, iar un purtător de cuvânt al State Bank of India a recunoscut contactul, dar nu a oferit comentarii suplimentare.
Declarațiile NuPay
Neeraj Singh, cofondator și COO al NuPay, a declarat că în bucket-ul Amazon S3 au fost stocate “un set limitat de înregistrări de testare cu detalii de bază ale clienților” și că majoritatea fișierelor erau fie fictive, fie de test. Compania a afirmat că log-urile sale Amazon au confirmat că nu a existat acces neautorizat, scurgeri de date, abuzuri sau impact financiar.
Controversa asupra declarațiilor
UpGuard a contestat afirmațiile NuPay, susținând că doar câteva sute din miile de fișiere analizate păreau a conține date de testare sau aveau numele NuPay pe formulare. De asemenea, UpGuard a menționat că detaliile bucket-ului Amazon nu erau limitate doar la cercetătorii săi, deoarece adresa bucket-ului public a fost indexată de Grayhatwarfare, o bază de date căutabilă pentru stocarea cloud vizibilă public.
Concluzie
Breșa de securitate a expus vulnerabilitățile sistemelor de stocare cloud și a evidențiat nevoia stringentă de măsuri mai stricte de securitate în gestionarea datelor sensibile în sectorul financiar din India.
