Accenture liess vertrauliche Daten auf ungeschützten Webservern

Ein Sicherheitsforscher hat vier ungeschützte Cloud-Server von Accenture entdeckt, auf denen vertrauliche Daten lagen. Zugänglich waren diese ohne Passworteingabe über ihre jeweiligen Web-Adressen.

» Von Luca Perler , 12.10.2017 18:12.

weitere Artikel

Dem Beratungshaus Accenture ist offenbar ein schwerer Patzer bei der Datensicherheit unterlaufen. Wie «heise.de» berichtet, versäumte das Unternehmen, mindestens vier auf Amazons AWS Cloud gehostete Server vor unbefugten Zugriffen zu schützen. Aufgefallen ist das Malheur Chris Vickery, dem Director of Cyber Risk Research der Firma UpGuard.

Auf den Servern fand er vertrauliche Daten – darunter geheime API-Daten, Anmeldedaten, Kundendaten, Zertifikate, VPN-Schlüssel sowie fremde Zugangsdaten zu Accentures Cloud-Service –, die infolge per Eingabe der Web-Adressen der Server im Internet-Browser für jedermann zugänglich und downloadbar gewesen seien. Vickery stiess weiter auf ein Klartext-Dokument, welches Accentures Master-Key für den AWS-Dienst beinhaltete, auf eine Datenbank mit rund 40'000 ungehashten Passwörtern sowie die Anmeldedaten für die Google- und Azure-Accounts des Beratungsunternehmens.

Accenture reagierte postwendend

In einem Blog-Beitrag, der die Hintergründe von Vickerys Entdeckung umreisst, schreibt der Journalist Dan O'Sullivan, dass die exponierten Server Accenture und tausende Kunden des Unternehmens einem Cyberrisiko aussetzten, das immensen finanziellen Schaden hätte anrichten können. Der Sicherheitsforscher Vickery informierte das Beratungshaus deshalb direkt nach seiner Analyse über die ungeschützten Server – am nächsten Tag sicherte Accenture diese laut Angaben von O'Sullivan ab.

«Keine Informationen von Kunden des Unternehmens waren in den Vorfall involviert und diese waren auch keinem Risiko ausgesetzt», sagte Accenture gegenüber «ZDnet» zuerst. Gemäss dem Tech-Magazin ergänzte ein Sprecher jedoch später, dass die E-Mail- und Passwort-Informationen in der Datenbank mehr als zweieinhalb Jahre alt sind und zu Usern eines mittlerweile stillgelegten Systems gehören. Accenture untersucht den Vorfall nun. Logs hätten dem Unternehmen allerdings bereits gezeigt, dass lediglich eine unautorisierte IP-Adresse auf die Server zugegriffen habe – diese konnte das Beratungsunternehmen Vickery zuordnen.

 

 

 

 

Werbung

KOMMENTARE

Keine Kommentare

KOMMENTAR SCHREIBEN

*
*
*
*

Alles Pflichfelder, E-Mail-Adresse wird nicht angezeigt.

Die Redaktion hält sich vor, unangebrachte, rassistische oder ehrverletzende Kommentare zu löschen.
Die Verfasser von Leserkommentaren gewähren der NMGZ AG das unentgeltliche, zeitlich und räumlich unbegrenzte Recht, ihre Leserkommentare ganz oder teilweise auf dem Portal zu verwenden. Eingeschlossen ist zusätzlich das Recht, die Texte in andere Publikationsorgane, Medien oder Bücher zu übernehmen und zur Archivierung abzuspeichern.