2SDnjc1JCzF
Intel лишилась почти гигабайта данных сотрудников из-за дыр в собственных сервисах
Крупная утечка едва не обернулась репутационным скандалом для Intel. Специалист по кибербезопасности, известный как Eaton Z, сумел вытащить почти 1 ГБ персональных данных сотрудников компании из её внутренних ресурсов. В списке оказались сведения о примерно 270 тысячах работников — от имён и должностей до номеров телефонов и служебных адресов.
Причиной стала ошибка на корпоративном сайте Intel India Operations, предназначенном для заказа визитных карточек. При изучении JavaScript-кода исследователь нашёл уязвимую функцию, изменив которую добился доступа к скрытому API. Удаление одного фильтра позволило ему скачать полную базу в формате JSON.
На этом проблемы не закончились. Eaton Z выявил ещё три небезопасных портала Intel. Один из них содержал пароли в открытом виде прямо в коде, другой позволял регистрировать новые учётные записи без защиты, а третий можно было обойти через бреши в авторизации. Все они раскрывали персональные данные сотрудников и предоставляли избыточные права в системе.
Несмотря на серьёзность находок, Intel не стала вознаграждать эксперта. Его сообщения компания принимала с октября 2024 года, но ни одна из уязвимостей не попала в официальную программу bug bounty. Ответ свёлся к шаблонным письмам. Закрыть бреши производителю удалось лишь к концу февраля 2025-го.
Теги:
похожие материалы
Семь из десяти кибератак в России нарушают работу малого и среднего бизнеса
Семь из десяти успешных целенаправленных атак на малый и средний бизнес нарушили основную деятельности бизнеса.
В России предложили разрешить облачным сервисам и средствам защиты данных работать только с одной операционной системой
Российские власти предложили смягчить требования к совместимости отечественного программного обеспечения с операционными системами.
В России предложили использовать ИИ для блокировки до 95% VPN-сервисов
Российские власти обсуждали возможность использования искусственного интеллекта для выявления и блокировки VPN-сервисов.
Кибершпионаж вместо хактивизма: эксперты уточнили мотивацию группировки Insolent Werewolf
Мотивацию кластера Insolent Werewolf связывали преимущественно с хактивизмом, однако свежие данные указывают на кибершпионаж.
В Екатеринбурге состоится Уральский фестиваль кибербезопасности
26-27 ноября в Екатеринбурге, в кампусе ИРИТ-РТФ УрФУ «Новокольцовский», пройдет Уральский фестиваль кибербезопасности.
Мошенники становятся умнее. Как меняются способы защиты
Технологии развиваются, а вместе с ними растут и угрозы.
В ЕАЭС 15 октября провели первую пилотную перевозку с электронной накладной eCMR
Эксперимент по внедрению электронных международных транспортных накладных (eCMR) в ЕАЭС выходит на новый этап: первой реальной пилотной перевозке с использованием цифрового документа дан старт сегодня, 15 октября, по маршруту Казахстан — Россия.
В криптокошельки Ledger внедряли шпионские чипы: компания остановила продажи в Азии после многомиллионных хищений
Производитель аппаратных криптокошельков Ledger приостановил продажи через авторизованных посредников в Юго-Восточной Азии и Гонконге после обнаружения модифицированных устройств со скрытыми электронными компонентами.
В Telegram обнаружили новую ленту новостей с персональными рекомендациями
Разработчики Telegram готовят новую функцию, которая может существенно изменить привычный способ просмотра публикаций в мессенджере.
«Яндекс» частично восстановил работу рекламных сервисов после атак на дата-центры
«Яндекс» начал восстанавливать доступ к рекламным сервисам, пострадавшим после серии атак беспилотников на дата-центры компании.