ملخص تنفيذي

ماذا يحدث عندما تُترك لوحات المعلومات المالية الحساسة مفتوحة على مصراعيها للإنترنت؟ كشفت Svigil من CloudSek، منصة مراقبة سلسلة التوريد الرقمية الرائدة في الصناعة، مؤخرًا عن مجموعة أباتشي سوبيرسيت غير مصدقة لوحة معلومات تابعة لبائع مؤسسة مالية كبرى.

أعطى هذا التكوين الخاطئ أكثر بكثير من مجرد الرسوم البيانية والمخططات. من سجلات اتصالات المقترض إلى تخصيص الديون على مستوى الدولة والقروض المستحقة التي تزيد قيمتها عن 110 مليون دولار أمريكي، رسمت البيانات المكشوفة صورة كاملة لاستراتيجيات الإقراض الداخلية. بدون تدخل Svigil، كان من الممكن أن يتصاعد هذا التسرب الصامت إلى كارثة مالية متعددة المخاطر.

تابع القراءة لاكتشاف كيف كشفت لوحة تحكم واحدة مكشوفة تقريبًا عن حصن بيانات أحد البنوك الكبرى - وكيف أنقذت يقظة Svigil الموقف.

الاكتشاف: نقرة واحدة بعيدًا عن الكارثة

أثناء عمليات الفحص الروتينية للأصول الرقمية التابعة لجهات خارجية، حدد Svigil حالة شاذة غير عادية - مثيل Apache Superset مفتوح. لا توجد مطالبة بتسجيل الدخول. لا يوجد حاجز مصادقة. مجرد وصول خالص إلى أحد أنظمة البيانات الأكثر أهمية التي تدعم عمليات الإقراض المشترك لمؤسسة مالية كبرى.

عند التحقيق، أكدت Svigil أن لوحة التحكم هذه تعمل على تسريب بيانات القروض الحساسة، وسير عمل الإقراض الداخلي، ومقاييس التواصل مع المقترض، وتفاصيل التخصيص المالي. أكثر إثارة للقلق؟ يلعب هذا البائع دورًا رئيسيًا في إدارة الإقراض الرقمي للبنك والذكاء الائتماني.

‍

داخل الخرق: ما الذي تم كشفه؟

• واجهة Superset غير آمنة:
  
  • أباتشي سوبيرسيت عرضة لـ CVE-2023-27524.
  • SECRET_KEY الافتراضي وعناصر تحكم المصادقة المفقودة.
• بيانات القروض والبيانات المالية في العراء:
  
  • أكثر من 2.6 مليون حساب مخصص.
  • 110 مليون دولار أمريكي من القروض المستحقة.
  • مقاييس الموافقة والرفض والصرف.
  • توزيع القروض على مستوى الولاية وملخصات EMI.
• لوحات معلومات الإقراض المشترك والاستراتيجية:
  
  • لوحات معلومات تعرض الاتجاهات المالية وأداء الشركاء وتفاعلات المقترض.
  • سجلات المشاركة والتواصل بما في ذلك الرسائل القصيرة ومحاولات التسليم الصوتي.
• جداول البيانات الأولية مع PII:
  
  • أرقام حسابات القروض وأنواع المنتجات وتصنيفات المجموعة.
  • سجلات حالة الاتصال وتتبع جهات الاتصال.

لم يكن هذا مجرد عرض للبيانات - بل كان دعوة للجهات الفاعلة في مجال التهديد للدخول عبر الباب الأمامي لخزينة بيانات أحد البنوك الكبرى.

عينات من البيانات المكشوفة:

• تسربت لقطة من تفاصيل حساب القرض

‍

• تسربت لقطة من تفاصيل ديون القروض الحكومية

‍

• لقطة من «لوحة معلومات Apache Superset الخاصة بـ «البائع»»

تأثير الأعمال:

• تداعيات السمعة:
  
  • يمكن أن تؤدي بيانات الإقراض الحساسة في أيدي الجمهور إلى تدمير ثقة العملاء والشركاء.
  • تداعيات وسائل الإعلام ومخاطر التسرب التنافسية.
• رد الفعل التنظيمي:
  
  • انتهاكات قواعد RBI واللائحة العامة لحماية البيانات ومعايير حماية البيانات المالية.
  • إمكانية فرض عقوبات وغرامات وعمليات تدقيق إلزامية.
• الانهيار التشغيلي:
  
  • تعطل خدمة القروض.
  • عمليات تدقيق النظام القسري والتصحيح في حالات الطوارئ.
• خصوصية المقترض في خطر:
  
  • يمكن استخدام البيانات على مستوى الحساب لعمليات الاحتيال والتصيد والاحتيال المالي.

التوصيات:

• ترقية أباتشي سوبيرسيت:
  
  • انتقل إلى الإصدار 2.0.1+.
  • استبدل قيم SECRET_KEY الافتراضية بسلاسل آمنة وعشوائية.
• فرض المصادقة:
  
  • قم بتعطيل الوصول العام تمامًا.
  • قم بتطبيق عناصر التحكم في الوصول المستندة إلى المستخدم وإزالة بيانات اعتماد المشرف الافتراضية.
• تقييد الوصول:
  
  • انشر خلف VPN أو جدار الحماية.
  • قم بتمكين RBAC للوحات المعلومات الحساسة.
• المراقبة والتدقيق:
  
  • قم بتمكين التسجيل التفصيلي.
  • راقب التفاعلات غير المصرح بها في لوحة المعلومات أو مكالمات API.

ميزة Svigil: الحماية الاستباقية التي تؤتي ثمارها

يؤكد هذا الحادث على قيمة المراقبة المستمرة للمخاطر من قبل البائع والطرف الثالث. اكتشفت Svigil ما كان يمكن أن يكون أحد أهم التسريبات في النظام البيئي التكنولوجي الهندي BFSI - كل ذلك بفضل مسح سلسلة التوريد الرقمية في الوقت الفعلي.

من خلال اكتشاف الثغرة الأمنية قبل الجهات الخبيثة، أعطت Svigil المؤسسة المالية الكبرى اليد العليا للتصرف بسرعة وتأمين بياناتها.

في عالم الثقة الرقمية، الوقاية ليست فقط أفضل - إنها لا تقدر بثمن.

لمحة عن «كلاودسك»
CloudSek عبارة عن منصة موحدة لإدارة المخاطر الرقمية تستفيد من الذكاء الاصطناعي والتعلم الآلي لتقديم معلومات التهديدات في الوقت الفعلي ومراقبة سطح الهجوم وأمن سلسلة التوريد عبر المؤسسات على مستوى العالم.

‍