เซิร์ฟเวอร์ที่ไม่ปลอดภัยอาจทำให้ข้อมูลรั่วไหลจำนวนมากในแอป Bing บนมือถือของ Microsoft ตามรายงานใหม่จากเว็บไซต์รักษาความปลอดภัยออนไลน์ WizCase ทีมรักษาความปลอดภัยออนไลน์ของไซต์ซึ่งนำโดยแฮ็กเกอร์หมวกขาว Ata Hakcil ค้นพบเซิร์ฟเวอร์ออนไลน์ที่ไม่ปลอดภัยและติดตามไปยังแอป Bing บนมือถือ เพื่อยืนยันการค้นพบของทีม Hakcil ดาวน์โหลดแอปและค้นหา "Wizcase" จากนั้นจึงตรวจสอบข้อมูลที่จัดเก็บไว้ในเซิร์ฟเวอร์ที่ไม่ปลอดภัยและพบว่ามีข้อมูล รวมถึงคำค้นหา รายละเอียดอุปกรณ์ และพิกัด GPS อยู่ที่นั่น เพื่อพิสูจน์ว่าข้อมูลที่เปิดเผยมาจากแอปโดยตรง บิงมือถือ. ข้อมูลที่เปิดเผยบนเซิร์ฟเวอร์ประกอบด้วยข้อความค้นหาที่ชัดเจน เวลาที่แน่นอนที่เครื่องมือค้นหาทำงาน พิกัดตำแหน่ง โทเค็นการแจ้งเตือนของ Firebase ข้อมูลคูปอง รายการ URL บางส่วนที่ผู้ใช้เยี่ยมชมจากผลการค้นหา รุ่นอุปกรณ์ ระบบปฏิบัติการ และสามรายการ หมายเลขประจำตัวที่ไม่ซ้ำกันที่แตกต่างกัน (ADID, ID อุปกรณ์ และแฮชอุปกรณ์) ที่กำหนดให้กับผู้ใช้แต่ละคนที่พบในข้อมูล
เซิร์ฟเวอร์เปิดเผย
Hakcil และทีมของเขาเริ่มการสอบสวนหลังจากค้นพบเซิร์ฟเวอร์ขนาด 6.5TB ที่เพิ่มขึ้น 200GB ต่อวัน จากจำนวนข้อมูลที่เพิ่มลงในเซิร์ฟเวอร์ในแต่ละวัน WizCase เชื่อว่าปลอดภัยที่จะถือว่าใครก็ตามที่ใช้แอป Bing บนมือถือเพื่อค้นหาในขณะที่เซิร์ฟเวอร์ถูกเปิดเผยนั้นมีความเสี่ยงเนื่องจากทีมงานได้เห็นบันทึกการค้นหาของผู้ใช้มากกว่า 70 ประเทศ. ตามเครื่องสแกนของบริษัท เซิร์ฟเวอร์ดังกล่าวได้รับการป้องกันด้วยรหัสผ่านจนถึงสัปดาห์แรกของเดือนกันยายน และถูกเปิดเผยทางออนไลน์โดยไม่ต้องใช้รหัสผ่านเป็นเวลาสองวันเต็ม จากนั้น WizCase ได้ติดต่อกับ Microsoft และรายงานข้อมูลรั่วไหลไปยัง Microsoft Security Response Center (MSRC) และเซิร์ฟเวอร์ก็ได้รับการรักษาความปลอดภัยในอีกไม่กี่วันต่อมา จากการสังเกต ทีมงานประเมินว่าเซิร์ฟเวอร์ถูกโจมตีด้วยการโจมตีของเหมียว ซึ่งทำลายฐานข้อมูลเกือบทั้งหมด การโจมตีของเหมียวครั้งที่สองถูกพบเห็นในอีกไม่กี่วันต่อมา นอกเหนือจากการโจมตีเหล่านี้แล้ว ข้อมูลยังถูกเปิดเผยต่ออาชญากรไซเบอร์ในขณะที่เซิร์ฟเวอร์ถูกเปิดเผยทางออนไลน์ ซึ่งอาจทำให้ผู้ใช้มือถือ Bing เผชิญกับภัยคุกคามหลายประการ รวมถึงแบล็กเมล์ ฟิชชิ่ง และแม้แต่การโจมตีทางกายภาพ เพราะตำแหน่งทางกายภาพของคุณสามารถระบุได้โดยใช้ GPS รายละเอียดการติดต่อจากอุปกรณ์มือถือของคุณ ในบล็อกโพสต์เกี่ยวกับเซิร์ฟเวอร์ที่ถูกเปิดเผย Chase Williams ผู้เชี่ยวชาญด้านความปลอดภัยบนเว็บของ WizChase ได้พูดคุยถึงวิธีที่การค้นพบของทีมเน้นย้ำถึงวิธีการใช้เครื่องมือค้นหาสำหรับกิจกรรมออนไลน์ที่ชั่วร้าย รวมถึงการพูดว่า: “ในฐานะแฮ็กเกอร์ที่มีจริยธรรม เราไม่มีทรัพยากรที่จะระบุตัวบุคคลเหล่านี้ได้ และส่งมอบให้กับเจ้าหน้าที่ อย่างไรก็ตาม การค้นพบนี้เผยให้เห็นว่ามีผู้ล่าและบุคคลอันตรายจำนวนเท่าใดที่ใช้เครื่องมือค้นหาเพื่อค้นหาเหยื่อรายต่อไปและเว็บไซต์ที่พวกเขาเยี่ยมชม ผ่านทาง WizChase