تم منع الوصول غير المصرح به إلى بيانات الملايين من المستخدمين: تم تأمين منصة الأجهزة الرئيسية القابلة للارتداء

تحدي

حددت منصة BeVigil التابعة لشركة CloudSek ملف عيب التفويض في واجهة برمجة التطبيقات لمنصة أجهزة رئيسية يمكن ارتداؤها.

سمح هذا الخلل بالوصول غير المصرح به إلى نقاط نهاية API المتعددة، مما أدى إلى الكشف عن البيانات الحساسة من أكثر من 50 ألف (5 ملايين) مستخدم، بما في ذلك معلومات الجهاز القابل للارتداء وبطاقات الاتصال الهاتفية وجهات الاتصال في حالات الطوارئ ومعلومات تحديد الهوية الشخصية الأخرى.

التأثير

يمكن أن يؤدي التعرض العام لبيانات الجهاز القابل للارتداء إلى sمخاطر أمنية كبيرة، بما في ذلك الوصول غير المصرح به إلى بيانات المستخدم الحساسة.

يمكن للمهاجمين استغلال هذه الثغرة الأمنية للحصول على وصول أعمق إلى النظام، مما يؤدي إلى sتعطل الخدمة وتصاعد الامتيازات والكشف عن معلومات الملكية.

بالإضافة إلى ذلك، يمكن إساءة استخدام الأنظمة المخترقة للأنشطة الضارة، مما يتسبب في مزيد من الضرر لـ سمعة المنصة وثقة العملاء.

الحل

‍قامت CloudSek BeVigil على الفور بتحديد وتأمين نقاط نهاية API المكشوفة، مما يضمن حماية البيانات الحساسة وتقييد الوصول إليها.

‍

التنفيذ:

الكشف:

• اكتشفت CloudSek BeVigil عيبًا في التفويض في نقاط نهاية API لمنصة رئيسية للأجهزة القابلة للارتداء

‍

تحليل التهديدات:

• قد يسمح عيب التفويض للجهات الفاعلة المهددة باكتسابكالوصول غير المصرح به إلى الأنظمة الداخلية، مما قد يعرض بيانات المستخدم الحساسة.
• كشف التحليل أن المهاجمين يمكنهم استغلال هذه الثغرة الأمنية لـ إجراء هجمات مستهدفة وتصعيد الامتيازات والوصول غير المصرح به إلى البيانات.

‍

إجراءات فورية:

• تم تأمين نقاط نهاية API الضعيفة لمنع المزيد من الوصول غير المصرح به.
• تم تنفيذ ضوابط الوصول المحسنة، بما في ذلك المصادقة متعددة العوامل (MFA) والتحكم في الوصول المستند إلى الأدوار (RBAC).
• تم تعطيل نقاط نهاية API غير الضرورية لتقليل سطح الهجوم.

‍

تدابير وقائية:

• أجريت عمليات تدقيق أمنية منتظمة واختبار الاختراق لضمان الحماية المستمرة.
• سياسات أمنية معززة ومستخدمون متعلمون حول أفضل الممارسات للتعامل مع المعلومات الحساسة.
• تم تنفيذ تشفير البيانات سواء أثناء الراحة أو أثناء النقل للحماية من الوصول غير المصرح به وانتهاكات البيانات.