ובכן, זה בהחלט לא נהדר: מסד נתונים לא מוגן של יותר ממיליארד רשומות של משתמשים מרחבי האינטרנט - כולל "חשבונות מדיה חברתית, כתובות דוא"ל ומספרי טלפון" - התגלה בשרת Elasticsearch לא מזוהה שניתן לגשת אליו על ידי כל אחד עם כתובת האינטרנט של השרת.

מה שעוד יותר מוזר זה,לפי בלומברג, אף אחד לא בטוח בדיוק איך זה הגיע לשם.

הגילוינעשה באוקטוברעל ידי מומחי אבטחת סייבר בוב דיאצ'נקו וויני טרויה; 4 הטרה-בייט של נתונים שהם מצאו כללו גם מידע על פרופיל פייסבוק, טוויטר ולינקדאין. בסך הכל, השרת הכיל מידע על ארבעה מיליארד חשבונות משתמשים ו-650 מיליון כתובות דוא"ל ייחודיות, שהשפיעו על 1.2 מיליארד אנשים.

כְּמוֹקוויתמצייןעם זאת, חשוב לזכור מה הנתונים עושיםלֹאכוללים: דברים כמו סיסמאות ומספרי כרטיסי אשראי. אז לפחות יש את זה! גם טרויה סיפרהקוויתשהשרת כבר לא מקוון ושהוא דיווח על נוכחותו ל-FBI.

אמנם לא ידוע איך הנתונים הגיעו לשרת הזה, אבל יש כמה דברים שטרויה הצליחה לחשוף. ראשית, נראה שהנתונים הגיעו ממספר מערכי נתונים, חלקם ממתווך הנתונים People Data Labs (PDL), המספק "העשרת נתונים". (TL;DR: הוא מספק נקודות נתונים על משתמשי אינטרנט כך שמותגים יכולים ליצור תוכן ספציפי יותר שבאמצעותו למקד למשתמשים אלה.)

שנית, השרת בו נמצא המידע לא היה שייך ל-PDL. Troia מדווחת כי PDL "נראה שמשתמש בשירותי האינטרנט של אמזון" עבור השרתים שלהם, בעוד השרת עמוס הנתונים המסתוריים שוכן - שוב, לא מוגן - בשירותי הענן של גוגל. לא השרת או הנתונים נשלטו על ידי גוגל.

טרויה ושון תורן, מייסד משותף של People Data Labs (PDL), שניהם ציינו לעשות זאתקוויתשהנתונים כנראה לא הושגו באמצעות הפרה של PDL, אלא אולי הושגו באופן לגיטימי על ידי לקוח שקנה ​​את הנתונים למטרות העשרת נתונים והשאיר אותם ללא הגנה.

אמר ת'ורן, "סביר להניח שהבעלים של השרת הזה השתמש באחד ממוצרי ההעשרה שלנו, יחד עם מספר שירותי העשרת נתונים או רישוי אחרים. ברגע שלקוח מקבל נתונים מאיתנו, או מכל ספק מידע אחר, הנתונים נמצאים על השרתים שלו והאבטחה היא באחריותו".

כדי להשוות את הנתונים שמצא עם מה שיש ל-PDL, Troia יצרה חשבון חינמי, הכולל 1,000 חיפושים בחודש, והצליבה עשרות אנשים מחיפוש PDL עם הנתונים מהשרת הלא מוגן. הוא מצא התאמה כמעט מלאה, שתומכת בתיאוריה שלו לפיה PDL היה המקור להרבה מהנתונים. רק מידע ההשכלה של המשתמשים נותר מחוץ לנתונים שנמצאו.

גם טרויה סיפרהקוויתייתכן שחלק מהנתונים הגיעו ממתווך נתונים אחר, Oxydata, שהכחיש שהתרחשה כל סוג של הפרה של הנתונים שלהם - מה שאומר שגם אותם ניתן היה להשיג באופן לגיטימי לחלוטין.

בפעולה נוספת של שירות ציבורי, Troia סיפקה את הנתונים למסלקהHaveIBeenPwned, המאפשר למשתמשים לראות אם החשבונות שלהם נפרצו.

הדבר המפחיד ביותר, כפי שמציין טרויה, הוא שאם זה באמת רק ניהול כושל גס של נתונים שהושגו באופן לגיטימי, אין מה לעשות במונחים של העמדת מישהו באחריות להפרה.

"בגלל חששות ברורים לפרטיות, ספקי ענן לא ישתפו שום מידע על הלקוחות שלהם, מה שהופך את זה למבוי סתום."כותב טרוי. "סוכנויות כמו ה-FBI יכולות לבקש מידע זה באמצעות הליך משפטי (סוג של בקשה ממשלתית רשמית), אך אין להן סמכות לאלץ את הארגון שזוהה לחשוף את ההפרה".

פנינו לגוגל לתגובה, אבל ספק אם הם יכולים להגיד משהו שיגרום לנו להרגיש טוב יותר לגבי כל העניין הזה.