Soutěžili jste s Fernetem? Vaše osobní data byla přístupná na internetu

Pokud někam na internetu zadáváte své osobní informace, počítáte s tím, že je uvidí jen provozovatel stránky. Ale nemusí to tak být vždy. Osobní informace o soutěžících na webu www.citrus.cz byly ještě včera volně přístupné z internetu.

Stock - soutezni web

V roce 2003 soutěžilo několik tisíc lidí se společností Stock na internetových stránkách www.citrus.cz. Jako u většiny soutěží museli vyplnit své osobní údaje jako jméno, adresu, telefon a e-mail a tyto informace se uložily do SQL databáze pro potřeby provozovatele. 

Tento týden, pět let od dávno zapomenuté soutěže, narazil programátor serveru ukazse.cz na nijak nechráněnou zálohu této databáze. Byla vytvořena v pátek 21. února 2003, je naindexovaná vyhledávačem Google, obsahuje více než tři tisíce jmen, adres a telefonů a byla zcela volně přístupná. Tudíž potenciálně snadno zneužitelná.  

Znění dotazu, kterým v Googlu databázi našel (obecný dotaz ohledně SQL databáze, nic společného se společností či produkty Stock neobsahoval), zde uvádět nebudeme, informovali jsme o něm postiženou společnost.

Že jsou informace reálné a kontakty stále aktuální jsme několika telefonáty vyzkoušeli sami. Ačkoli byly reakce rozdílné - jedna volaná mne bez známek znepokojení dokonce opravila, že má po přestěhování ve stejné ulici jiné popisné číslo - převládlo samozřejmě rozčilení. Takto nezodpovědné zacházení s osobními údaji nikdo nepředpokládá.

Oficiální vyjádření společnosti Stock Plzeň  (uvádíme v plném znění)

Společnost Stock Plzeň po upozornění iDNES.cz skutečně zjistila, že databáze účastníků jedné ze soutěží, která však probíhala již v roce 2003 na internetových stránkách www.citrus.cz., je přístupná. Toto nedopatření vzniklo při předávání všech internetových aplikací mezi nynějším a bývalým poskytovatelem internetových služeb Stocku Plzeň. Během migrace zůstal v jednom z mnoha adresářů zapomenutý soubor s daty o účastnících soutěže.

Předpokládáme, že k útoku došlo kvůli existenci přesné URL v databázích Google, musela tedy existovat stránka obsahující odkaz na tento soubor. Ihned po upozornění iDNES.cz byl předmětný soubor smazán z produkčního serveru a v současnosti jsou veškeré soubory dále kontrolovány. Vzniklé situace litujeme.

Na vyjádření jsme se zeptali i odborníka na databázové systémy: "Zálohy databází musí být ukládány mimo dosah Apache, aby nebyly veřejně přístupné. A v tomto případě to tak nebylo." "To, že je databáze vyhledatelná googlem je zajímavé - soubor musel být odněkud linkován", doplňuje.

Happyend?

Po našem upozornění byla záloha databáze odstraněna a již není veřejně přístupná. Důvodem, proč o tomto incidentu píšeme, je varování:

Vždy, když budete někde zadávat své osobní údaje si uvědomte, že jejich platnost nekončí se stiskem tlačítka "Odeslat". Uvědomte si, že je dáváte k dispozici třetí osobě, která s nimi může různě naložit - uschovat, záměrně poskytnout dalším osobám, nebo chybou vystavit všem. Musíte tedy zvážit, zda je případný zisk adekvátní riziku spojeného s jejich ztrátou.

Vodítkem ale může být i renomé serveru - u velkých zaběhnutých společností lze předpokládat vyšší stupeň zabezpečení a zodpovědnosti přístupu k informacím, než u neznámého internetového miniobchodu. Ačkoli i zde samozřejmě existují výjimky na obou stranách.