Сведения о 7,5 млн пользователей Adobe Creative Cloud обнаружены в незащищенной базе данных на общедоступном сервере. В рамках платформы более 15 млн клиентов работают с Photoshop, Lightroom, Illustrator и другими продуктами разработчика. На момент публикации специалисты компании закрыли уязвимое хранилище.

Какие сведения о подписчиках Adobe Creative Cloud оказались в общем доступе

Базу данных Elasticsearch одновременно нашли ИБ-специалист Боб Дьяченко (Bob Diachenko) и журналист Пол Бишофф (Paul Bischoff). По словам исследователей, информация находилась в открытом доступе около недели и включала следующие данные:

  • адреса электронной почты;
  • статусы подписки и списки используемых программ;
  • идентификаторы пользователей;
  • даты создания аккаунтов;
  • страны проживания пользователей;
  • время, прошедшее с последнего входа в аккаунт;
  • статусы оплаты и подписки;
  • отметки, позволявшие определить сотрудников Adobe.

Среди записей в базе данных не было логинов, паролей и номеров банковских карт. Тем не менее, если найденная информация попала в руки злоумышленников, они могут использовать ее в атаках с применением методов социальной инженерии или рассылки персонализированного спама.

Экспертам неизвестно, были ли в действительности скомпрометированы персональные сведения клиентов Adobe. Они уведомили представителей компании о своей находке 19 октября, и те закрыли доступ к базе.

Базы данных Elasticsearch не впервые попадают в поле зрения специалистов по информационной безопасности. Несколько лет назад стало известно об уязвимостях, которые позволяют взламывать хранилища и размещать в них вредоносные скрипты. Несмотря на то что для уязвимостей выпустили заплатки, киберпреступники по-прежнему находят непропатченные кластеры и внедряют в них майнеры и DDoS-боты.

Другая проблема связана не с уязвимостью программного продукта, а с неправильной настройкой доступа к БД. Так, в октябре этого года Дьяченко нашел некорректно сконфигурированное хранилище, содержавшее сведения о 20 млн российских налогоплательщиков. По мнению эксперта, данные были в открытом доступе около года.

Категории: Кибероборона