Специалист компании Security Discovery Джеремия Фаулер (Jeremiah Fowler) рассказал, что 30 января 2020 года ему удалось обнаружить в открытом доступе БД парфюмерно-косметической компании Estée Lauder, содержащую в общей сложности 440 336 852 записи.
Незащищенная база данных содержала самую разную информацию, включая журналы аудита (с большим количеством адресов электронной почты в каждом); журналы производства, ошибок, CMS и промежуточного ПО (middleware); электронные адреса пользователей в виде простого текста; внутренние email-адреса компании (домен @estee.com). Но никаких данных о платежах или конфиденциальной информации о сотрудниках в базе не было.
Ссылки на отчеты и другие внутренние документы Estée Lauder тоже были обнаружены экспертом, наряду с такими деталями, как IP-адреса, порты, пути и данные хранилищ. То есть в открытом доступе были доступны потенциально полезные для киберпреступников данные, которые могли бы проникнуть в сеть компании.
Фаулер подчеркивает, что база данных содержала «миллионы записей, относящихся к промежуточному программному обеспечению», а это может быть крайне опасно.
«Промежуточное ПО может создавать обходные пути для малвари, посредством которых приложения и данные могут быть скомпрометированы. В этом случае любой, у кого есть подключение к интернету, может увидеть пути, узнать, какие версии или сборки используются, а также другую информацию, которая может послужить бэкдором для проникновения в сеть [компании]», — пишет эксперт.
В настоящее время специалисты Estée Lauder уже устранили проблему и заверяют, что не нашли никаких доказательств несанкционированного использования этих временно доступных всем желающим данных.
