云盘服务Box帐号配置不当,逾90家公司敏感数据泄露,苹果躺枪

猎云网  •  扫码分享
我是创始人李岩:很抱歉!给自己产品做个广告,点击进来看看。  

据悉,云文件共享系统Box意外泄漏了逾90家公司数十万份文档和万亿字节的数据。网络安全公司Adversis揭露了潜在的安全隐患,并表示从护照照片到社会安全和银行账号、原型和设计文件、员工名单、财务和信息技术数据等一切信息都被泄漏。

虽然上传到Box企业帐户的数据和文档从技术上来说都是私有的,但用户可以通过链接共享访问权限,其中一些链接可以让拥有该链接的人公开查看。Adversis发现一些公司已经泄漏了这些秘密链接,有些甚至可以被搜索引擎所索引。Adversis最初计划单独接触这些公司,但很快意识到问题的规模超出了可以掌控的范围。

Box发布了如下声明:“我们重视客户的安全,并提供控制措施,允许客户根据他们共享内容的敏感性选择合适的安全级别。在某些情况下,用户可能希望广泛共享文件或文件夹,并将自定义或共享链接的权限设置为公开。我们正在采取措施使这些设置更加清晰,更好地帮助用户理解如何共享文件或文件夹,并降低意外共享内容的可能性,包括改进管理策略和引入对共享链接的附加控制。”

值得注意的是,一些理论上可以被任何人查看的Box链接并不是该公司系统的失误。该公司指出,它有许多不同的方式来共享内容,比如完全私有、仅限特定用户访问,或者公开访问。用户还可以设置自定义链接,这也是Adversis最初发现问题的地方。

Box特别指出,如果一个公开Box链接被共享到其他人可以找到的地方,比如一个可能被谷歌索引的网站,那么该内容将是可访问的。最佳安全实践要求不公开共享这些链接。

为了解决泄漏事件所引起的担忧,Box正在采取一些措施。首先,Box管理控制台现在被设置为默认禁用公开自定义共享链接;除非管理员改变这一点,否则用户将无法以这种方式共享链接。此外,共享链接的默认隐私设置被设置为“公司职员”,并且该默认设置只能由管理员更改。最后,Box还与使用其工具的公司合作,以确保他们知道如何审计组织中的公开和自定义链接,并在必要时使它们更加安全。

据外媒报道,苹果、探索频道、航班预订系统Amadeus、营养公司康宝莱和Opportunity International都是遭遇此次意外泄漏事件影响的公司。

随意打赏

dropbox360企业云盘
提交建议
微信扫一扫,分享给好友吧。