Il fornitore del browser blisk perde i dati tramite un server aperto

Blisk logo text headline 512 white
Gli sviluppatori di browser Blisk hanno lasciato un server Elasticsearch esposto online senza password.

 

Un fornitore di browser ha comunicato i dati degli utenti dopo aver lasciato accidentalmente un server Elasticsearch esposto su Internet senza password.

Il caso si è verificato con Blisk, una società estone che sviluppa l’omonimo browser Blisk .

Il browser Blisk è un offshoot basato su Chromium su misura per la comunità di sviluppo di app e web e viene fornito con supporto per strumenti di sviluppo avanzati, funzionalità di anteprima dei dispositivi e strumenti di collaborazione di progetto.

Lanciato a maggio 2016, il browser ha guadagnato un seguito nel mercato dello sviluppo web. Sul suo sito, Blisk afferma che il suo browser è utilizzato da oltre 40.000 aziende, tra cui alcuni grandi nomi come HP, Xerox, NASA, Unicef, Deloitte, UEFA, Vice News e Pandora.

Lo scorso dicembre, la società ha subito una violazione accidentale dei dati. Il 2 dicembre 2019, Noam Rotem e Ran Locar, due ricercatori di vpnMentor, hanno scoperto un server Elasticsearch appartenente alla società che è stato accidentalmente esposto online.

In un rapporto di questa settimana, i ricercatori di vpnMentor hanno dichiarato di aver trovato dettagli personali appartenenti a migliaia di sviluppatori Web che avevano registrato profili con il sito Web / browser Blisk.

In totale, hanno trovato 2,9 milioni di record, pari a 3,4 GB di dati, lasciati esposti online.

I dati sembravano essere voci di registro per le azioni intraprese dagli sviluppatori all’interno del browser, come la registrazione di profili o l’invito di amici.

I dettagli personali trapelati tramite i server esposti includevano indirizzi e-mail e stringhe di user-agent.

immagine01

vpnMentor ha dichiarato di aver notificato il problema a Blisk il 4 dicembre e che il produttore del browser ha provveduto a proteggere il server entro il giorno successivo.

In un’e-mail di ieri, il team Blisk ha affermato che, nonostante il loro errore, la falla non ha comportato l’esposizione di informazioni sensibili, quali password, informazioni finanziarie o informazioni personali identificabili (PII), come nomi, dati di fatturazione o numeri di telefono che non sono stati memorizzati su quel particolare server.

Tuttavia, vpnMentor afferma che i dati potrebbero avere un valore operativo per un utente malintenzionato che sia riuscito ad accedere durante l’intervallo di tempo in cui il server è stato esposto. I dati potrebbero essere utilizzati per indirizzare gli sviluppatori che lavorano per aziende private e personalizzare exploit e malware in base alle loro stringhe user-agent (che includono i dettagli della piattaforma).

 

 

CONDIVIDI QUESTO ARTICOLO