Klávesové zkratky na tomto webu - základní­
Přeskočit hlavičku portálu


Soutěžili jste s Fernetem? Vaše osobní data byla přístupná na internetu

aktualizováno 
Pokud někam na internetu zadáváte své osobní informace, počítáte s tím, že je uvidí jen provozovatel stránky. Ale nemusí to tak být vždy. Osobní informace o soutěžících na webu www.citrus.cz byly ještě včera volně přístupné z internetu.

Stock - soutezni web

V roce 2003 soutěžilo několik tisíc lidí se společností Stock na internetových stránkách www.citrus.cz. Jako u většiny soutěží museli vyplnit své osobní údaje jako jméno, adresu, telefon a e-mail a tyto informace se uložily do SQL databáze pro potřeby provozovatele. 

Tento týden, pět let od dávno zapomenuté soutěže, narazil programátor serveru ukazse.cz na nijak nechráněnou zálohu této databáze. Byla vytvořena v pátek 21. února 2003, je naindexovaná vyhledávačem Google, obsahuje více než tři tisíce jmen, adres a telefonů a byla zcela volně přístupná. Tudíž potenciálně snadno zneužitelná.  

Znění dotazu, kterým v Googlu databázi našel (obecný dotaz ohledně SQL databáze, nic společného se společností či produkty Stock neobsahoval), zde uvádět nebudeme, informovali jsme o něm postiženou společnost.

Že jsou informace reálné a kontakty stále aktuální jsme několika telefonáty vyzkoušeli sami. Ačkoli byly reakce rozdílné - jedna volaná mne bez známek znepokojení dokonce opravila, že má po přestěhování ve stejné ulici jiné popisné číslo - převládlo samozřejmě rozčilení. Takto nezodpovědné zacházení s osobními údaji nikdo nepředpokládá.

Oficiální vyjádření společnosti Stock Plzeň  (uvádíme v plném znění)


Společnost Stock Plzeň po upozornění iDNES.cz skutečně zjistila, že databáze účastníků jedné ze soutěží, která však probíhala již v roce 2003 na internetových stránkách www.citrus.cz., je přístupná. Toto nedopatření vzniklo při předávání všech internetových aplikací mezi nynějším a bývalým poskytovatelem internetových služeb Stocku Plzeň. Během migrace zůstal v jednom z mnoha adresářů zapomenutý soubor s daty o účastnících soutěže.

Předpokládáme, že k útoku došlo kvůli existenci přesné URL v databázích Google, musela tedy existovat stránka obsahující odkaz na tento soubor. Ihned po upozornění iDNES.cz byl předmětný soubor smazán z produkčního serveru a v současnosti jsou veškeré soubory dále kontrolovány. Vzniklé situace litujeme.

Na vyjádření jsme se zeptali i odborníka na databázové systémy: "Zálohy databází musí být ukládány mimo dosah Apache, aby nebyly veřejně přístupné. A v tomto případě to tak nebylo." "To, že je databáze vyhledatelná googlem je zajímavé - soubor musel být odněkud linkován", doplňuje.

Happyend?

Po našem upozornění byla záloha databáze odstraněna a již není veřejně přístupná. Důvodem, proč o tomto incidentu píšeme, je varování:

Vždy, když budete někde zadávat své osobní údaje si uvědomte, že jejich platnost nekončí se stiskem tlačítka "Odeslat". Uvědomte si, že je dáváte k dispozici třetí osobě, která s nimi může různě naložit - uschovat, záměrně poskytnout dalším osobám, nebo chybou vystavit všem. Musíte tedy zvážit, zda je případný zisk adekvátní riziku spojeného s jejich ztrátou.

Vodítkem ale může být i renomé serveru - u velkých zaběhnutých společností lze předpokládat vyšší stupeň zabezpečení a zodpovědnosti přístupu k informacím, než u neznámého internetového miniobchodu. Ačkoli i zde samozřejmě existují výjimky na obou stranách.





Hlavní zprávy

Další z rubriky

VPN v ohrožení
Apple stáhl z Číny aplikace s VPN. Putin podepsal jejich zákaz v Rusku

Blokování přístupu na necenzurovaný internet je v některých zemích stále populárnější. Kvůli požadavkům čínských úřadů tak Apple stahuje VPN aplikace. V Rusku...  celý článek

Jak si zapamatovat heslo?
Složitá hesla byla 0my1, lituje autor návrhu. Časté změny spíše škodí

Hesla hrají v počítačové bezpečnosti nezastupitelnou úlohu. Bohužel si řada lidí volí složité a těžko zapamatovatelné řetězce typu p0L3dn!ce. Jeden z autorů...  celý článek

Samizdat.cz
Tipy na zajímavé weby: Najděte si nápad na nový byznys

V jakém oboru se vyplatí začít podnikat a jak je to s konkurencí ve vybraných částech ČR, prozradí mapa malého podnikání na Samizdat.cz. Dodavatele čerstvých...  celý článek

Mercedes Třída E 2,0 220d...
Mercedes Třída E 2,0 220d...

r.v. 2016, naj. 10 000 km, diesel
1 021 475 Kč (s DPH)

Najdete na iDNES.cz



mobilní verze
© 1999–2017 MAFRA, a. s., a dodavatelé Profimedia, Reuters, ČTK, AP. Jakékoliv užití obsahu včetně převzetí, šíření či dalšího zpřístupňování článků a fotografií je bez souhlasu MAFRA, a. s., zakázáno. Provozovatelem serveru iDNES.cz je MAFRA, a. s., se sídlem
Karla Engliše 519/11, 150 00 Praha 5, IČ: 45313351, zapsaná v obchodním rejstříku vedeném Městským soudem v Praze, oddíl B, vložka 1328. Vydavatelství MAFRA, a. s., je členem koncernu AGROFERT.