Europejska alternatywa dla Google Drive z ogromnym wyciekiem. Do sieci trafiły poufne dane klientów

Europejski dostawca usług chmurowych Nextcloud zaliczył potężną wpadkę. Publicznie dostępna baza danych zawierała około 367 tysięcy rekordów obejmujących faktury, umowy, wiadomości e-mail, dane pracowników oraz skrypty wykorzystywane do wdrażania platformy u klientów. Choć firma zapewnia, że serwery użytkowników nie zostały naruszone, eksperci ostrzegają, że ujawnione informacje mogą zostać wykorzystane do przygotowania wyjątkowo wiarygodnych kampanii phishingowych oraz analizowania infrastruktury klientów.

Analiza wykazała, że niezabezpieczony klaster Elasticsearch udostępniał niemal 8 GB danych należących do Nextcloud. Łącznie baza zawierała około 367 tys. rekordów obejmujących dokumenty PDF, obrazy PNG, pliki Markdown oraz wiele innych formatów.

Według badaczy wszystkie rekordy znajdowały się w jednym indeksie odpowiadającym wewnętrznym plikom firmy. Wśród nich znalazły się zarówno materiały dotyczące działalności Nextcloud, jak i dokumenty zawierające informacje o klientach oraz pracownikach przedsiębiorstwa.

Nextcloud to rozwijana w modelu open source platforma umożliwiająca budowę własnej chmury do przechowywania plików i współpracy zespołowej. Rozwiązanie jest często przedstawiane jako europejska alternatywa dla usług Google Drive czy Microsoft OneDrive i znajduje zastosowanie zarówno w administracji publicznej, jak i w przedsiębiorstwach.

Błędna konfiguracja hostingu spowodowała, że ​​baza danych Elasticsearch stała się publicznie dostępna. W efekcie z Nextcloud wyciekło 367 000 wewnętrznych rekordów.

Wyciek objął faktury, umowy i wiadomości e-mail

Najbardziej niepokojącym elementem ujawnionego zbioru okazały się niezaszyfrowane dokumenty zawierające dane biznesowe. Badacze odnaleźli faktury wystawiane klientom przez Nextcloud oraz dokumenty przesyłane do firmy przez kontrahentów. Zawierały one adresy e-mail pracowników, nazwy przedsiębiorstw, adresy firm oraz dane osób odpowiedzialnych za rozliczenia.

W bazie znalazły się również wiadomości e-mail zapisane w formacie EML. Pliki zawierały pełną treść korespondencji, adresy nadawców i odbiorców oraz znaczniki czasu. Ujawniono także dokumenty opisujące współpracę z klientami, zakres realizowanych projektów, liczbę użytkowników korzystających z wdrożeń oraz inne informacje handlowe.

Badacze natrafili ponadto na listy uczestników programów beta i testów nowych funkcji. Dokumenty zawierały imiona i nazwiska oraz służbowe adresy e-mail.

Największe zagrożenie stanowią skrypty wdrożeniowe

Szczególną uwagę ekspertów zwróciły skrypty przygotowywane dla klientów. Były to pliki powłoki systemowej oraz skrypty w Pythonie wykorzystywane do konfiguracji i zarządzania środowiskami Nextcloud.

Część z nich zawierała na stałe zapisane dane uwierzytelniające do baz danych. Nawet jeśli same informacje nie pozwalają na przejęcie infrastruktury klientów, mogą znacząco ułatwić analizę sposobu wdrożenia systemów oraz identyfikację potencjalnych słabych punktów. Dla cyberprzestępców takie materiały stanowią cenne źródło wiedzy podczas przygotowywania bardziej zaawansowanych ataków.

Nextcloud reaguje i uspokaja klientów

Przedstawiciele Nextcloud poinformowali, że problem został usunięty dwa dni po otrzymaniu zgłoszenia od badaczy. Firma wskazuje, że źródłem incydentu była błędna konfiguracja infrastruktury hostingowej, a nie luka w samym oprogramowaniu.

Według oficjalnego stanowiska żaden serwer należący do klientów, partnerów ani innych użytkowników platformy nie został naruszony. Nextcloud przekazał również, że sprawa została zgłoszona właściwemu organowi ochrony danych, a wewnętrzne dochodzenie nie wykazało śladów wykorzystania ujawnionych informacji przez osoby nieuprawnione.

Eksperci zwracają jednak uwagę, że brak dowodów nie oznacza, iż nikt nie pobrał danych. Publicznie dostępne bazy Elasticsearch są regularnie wyszukiwane przez zautomatyzowane boty skanujące internet w poszukiwaniu błędnie skonfigurowanych usług.

Dane mogą posłużyć do wyjątkowo wiarygodnych ataków

Zdaniem specjalistów największym zagrożeniem pozostaje możliwość przygotowania bardzo przekonujących wiadomości phishingowych. Dysponując prawdziwymi fakturami, nazwami firm, adresami e-mail oraz historią korespondencji, cyberprzestępcy mogą tworzyć wiadomości wyglądające jak autentyczna komunikacja biznesowa.

Podobny mechanizm pojawiał się już podczas głośnych kampanii wymierzonych w duże przedsiębiorstwa, gdzie atakujący wykorzystywali informacje zdobyte wcześniej podczas wycieków danych zamiast klasycznych metod włamywania się do systemów.

Ujawnione skrypty wdrożeniowe również mogą okazać się cennym źródłem wiedzy dla napastników. Pozwalają lepiej zrozumieć sposób konfiguracji środowisk klientów oraz wskazać elementy wymagające dalszej analizy. W połączeniu z danymi kontaktowymi i dokumentacją biznesową tworzy to zestaw informacji, który może zostać wykorzystany podczas precyzyjnie przygotowanych kampanii wymierzonych zarówno w pracowników Nextcloud, jak i organizacje korzystające z platformy.