Cloud
13.10.2017, 11:05 Uhr
Accenture liess vertrauliche Daten auf ungeschützten Webservern
Ein Sicherheitsforscher hat vier ungeschützte Cloud-Server von Accenture entdeckt, auf denen vertrauliche Daten lagen. Zugänglich waren diese ohne Passworteingabe über ihre jeweiligen Web-Adressen.
(Quelle: flickr / Michael Gray)
Dem Beratungshaus Accenture ist offenbar ein schwerer Patzer bei der Datensicherheit unterlaufen. Wie «heise.de» berichtet, versäumte das Unternehmen, mindestens vier auf Amazons AWS Cloud gehostete Server vor unbefugten Zugriffen zu schützen. Aufgefallen ist das Malheur Chris Vickery, dem Director of Cyber Risk Research der Firma UpGuard.
Auf den Servern fand er vertrauliche Daten – darunter geheime API-Daten, Anmeldedaten, Kundendaten, Zertifikate, VPN-Schlüssel sowie fremde Zugangsdaten zu Accentures Cloud-Service –, die infolge per Eingabe der Web-Adressen der Server im Internet-Browser für jedermann zugänglich und downloadbar gewesen seien. Vickery stiess weiter auf ein Klartext-Dokument, welches Accentures Master-Key für den AWS-Dienst beinhaltete, auf eine Datenbank mit rund 40'000 ungehashten Passwörtern sowie die Anmeldedaten für die Google- und Azure-Accounts des Beratungsunternehmens.
Accenture reagierte postwendend
In einem Blog-Beitrag, der die Hintergründe von Vickerys Entdeckung umreisst, schreibt der Journalist Dan O'Sullivan, dass die exponierten Server Accenture und tausende Kunden des Unternehmens einem Cyberrisiko aussetzten, das immensen finanziellen Schaden hätte anrichten können. Der Sicherheitsforscher Vickery informierte das Beratungshaus deshalb direkt nach seiner Analyse über die ungeschützten Server – am nächsten Tag sicherte Accenture diese laut Angaben von O'Sullivan ab.
«Keine Informationen von Kunden des Unternehmens waren in den Vorfall involviert und diese waren auch keinem Risiko ausgesetzt», sagte Accenture gegenüber «ZDnet» zuerst. Gemäss dem Tech-Magazin ergänzte ein Sprecher jedoch später, dass die E-Mail- und Passwort-Informationen in der Datenbank mehr als zweieinhalb Jahre alt sind und zu Usern eines mittlerweile stillgelegten Systems gehören. Accenture untersucht den Vorfall nun. Logs hätten dem Unternehmen allerdings bereits gezeigt, dass lediglich eine unautorisierte IP-Adresse auf die Server zugegriffen habe – diese konnte das Beratungsunternehmen Vickery zuordnen.
