V roce 2003 soutěžilo několik tisíc lidí se společností Stock na internetových stránkách www.citrus.cz. Jako u většiny soutěží museli vyplnit své osobní údaje jako jméno, adresu, telefon a e-mail a tyto informace se uložily do SQL databáze pro potřeby provozovatele.
Tento týden, pět let od dávno zapomenuté soutěže, narazil programátor serveru ukazse.cz na nijak nechráněnou zálohu této databáze. Byla vytvořena v pátek 21. února 2003, je naindexovaná vyhledávačem Google, obsahuje více než tři tisíce jmen, adres a telefonů a byla zcela volně přístupná. Tudíž potenciálně snadno zneužitelná.
Znění dotazu, kterým v Googlu databázi našel (obecný dotaz ohledně SQL databáze, nic společného se společností či produkty Stock neobsahoval), zde uvádět nebudeme, informovali jsme o něm postiženou společnost.
Že jsou informace reálné a kontakty stále aktuální jsme několika telefonáty vyzkoušeli sami. Ačkoli byly reakce rozdílné - jedna volaná mne bez známek znepokojení dokonce opravila, že má po přestěhování ve stejné ulici jiné popisné číslo - převládlo samozřejmě rozčilení. Takto nezodpovědné zacházení s osobními údaji nikdo nepředpokládá.
Oficiální vyjádření společnosti Stock Plzeň (uvádíme v plném znění) |
Předpokládáme, že k útoku došlo kvůli existenci přesné URL v databázích Google, musela tedy existovat stránka obsahující odkaz na tento soubor. Ihned po upozornění iDNES.cz byl předmětný soubor smazán z produkčního serveru a v současnosti jsou veškeré soubory dále kontrolovány. Vzniklé situace litujeme. |
Na vyjádření jsme se zeptali i odborníka na databázové systémy: "Zálohy databází musí být ukládány mimo dosah Apache, aby nebyly veřejně přístupné. A v tomto případě to tak nebylo." "To, že je databáze vyhledatelná googlem je zajímavé - soubor musel být odněkud linkován", doplňuje.
Happyend?
Po našem upozornění byla záloha databáze odstraněna a již není veřejně přístupná. Důvodem, proč o tomto incidentu píšeme, je varování:
Vždy, když budete někde zadávat své osobní údaje si uvědomte, že jejich platnost nekončí se stiskem tlačítka "Odeslat". Uvědomte si, že je dáváte k dispozici třetí osobě, která s nimi může různě naložit - uschovat, záměrně poskytnout dalším osobám, nebo chybou vystavit všem. Musíte tedy zvážit, zda je případný zisk adekvátní riziku spojeného s jejich ztrátou.
Vodítkem ale může být i renomé serveru - u velkých zaběhnutých společností lze předpokládat vyšší stupeň zabezpečení a zodpovědnosti přístupu k informacím, než u neznámého internetového miniobchodu. Ačkoli i zde samozřejmě existují výjimky na obou stranách.