El equipo de ciber riesgo de la firma UpGuard ha identificado otro contenedor de almacenamiento no seguro en la nube S3  AWS (Amazon Web Service) que contiene datos confidenciales que pertenecen al comando conjunto de Seguridad Nacional La Agencia (NSA) y el Departamento de Defensa de los EE. UU (INSCOM).

El cubo está configurado para permitir el acceso público a la información de inteligencia exclusiva recopilada por INSCOM para líderes políticos y militares estadounidenses.

El repositorio está ubicado en el subdominio «inscom» en AWS, y contiene alrededor de 47 archivos y carpetas visibles, de los cuales tres también se pueden descargar.

Según se informa, el cubo contiene más de 100 GB de datos clasificados, y su exposición publica fue debida a la adopción de prácticas de seguridad descuidadas.

Parece ser que cualquiera que obtenga la URL puede acceder fácilmente a este tesoro de datos valiosos y sensibles.

No podemos ignorar que los segmentos de S3 AWS no asegurados han causado un gran revuelo en todo el Pentágono y el Departamento de Defensa de los EE. UU.

Últimamente, ya que han causado filtraciones de datos vergonzosas para varias instituciones gubernamentales, sobre todo para la NSA.

En el enlace de la pagina principal de Upguard han publicado las capturas de pantalla de las carpetas y repositorios de información.

https://www.upguard.com/breaches/cloud-leak-inscom

Si se trataba de datos tan sensibles, que renombraron las carpetas para identificarlos de forma incluso como TOP SECRET, ¿como podían estar expuestos?

Lamentablemente, esta fuga fue completamente evitable, el resultado probable sea de errores de proceso dentro de un entorno de TI que carecía de los procedimientos necesarios para garantizar que algo tan impactante como un repositorio de datos que contiene información clasificada no sea de acceso público.

Dado lo simple que es la solución inmediata a una configuración tan mal concebida, seguramente se actualizo la configuración de permisos del depósito S3 para permitir el acceso de los administradores autorizados.

La verdadera pregunta es cómo pueden las agencias gubernamentales realizar un seguimiento de todos sus datos y asegurarse de que estén configurados y asegurados correctamente?

Quizas, realizando las tareas conjuntas y simultaneas de comprobar procedimientos y validar los procesos, asociados al riesgo.

 

 

Uso de cookies

Este sitio web utiliza cookies para que usted tenga la mejor experiencia de usuario. Si continúa navegando está dando su consentimiento para la aceptación de las mencionadas cookies y la aceptación de nuestra política de cookies, pinche el enlace para mayor información.plugin cookies

ACEPTAR
Aviso de cookies
Share This