Een bedrijf dat allerlei datingsites aanbiedt hoeft geen boete te betalen omdat vorig jaar een database met 42 miljoen onversleutelde wachtwoorden en andere persoonlijke gegevens van gebruikers werd gestolen. De Australische Information Commission had een onderzoek naar het incident ingesteld.

De gestolen database van Cupid Media werd op dezelfde server aangetroffen waar ook de gestolen data van Adobe, PR Newswire en het National White Collar Crime Center (NW3C) werden ontdekt. Volgens onderzoek van de Information Commission heeft het bedrijf de Australische privacywetgeving overtreden door de persoonlijke informatie van gebruikers niet voldoende te beveiligen.

Het gaat dan onder andere om de opslag van wachtwoorden. Die werden gewoon in platte tekst bewaard, waardoor ze meteen toegankelijk voor de aanvallers waren die de database buitmaakten. Daarnaast hield Cupid Media zich niet aan vereiste om gegevens die niet langer noodzakelijk zijn te verwijderen. Een deel van 42 miljoen gestolen accounts zouden niet meer worden gebruikt, maar het bedrijf kon niet zien welke.

Patch

De aanval vond plaats via een lek in Adobe ColdFusion, een platform voor het ontwikkelen van dynamische websites en webapplicaties. Op 16 januari vorig jaar publiceerde Adobe een patch voor een lek in ColdFusion. Cupid Media zou echter geen bericht van Adobe hebben ontvangen dat de patch beschikbaar was. Normaliter stuurde Adobe volgens het bedrijf altijd een waarschuwing, maar zou dit nu niet hebben gedaan.

Op 21 januari ontdekte het IT-team van het bedrijf de update en installeerde die. In de tussentijd, op 18 januari, hadden aanvallers het lek al gebruikt om toegang tot de webserver van Cupid Media te krijgen. Ondanks het in eerste instantie missen van de patch heeft het bedrijf volgens de Information Commission toch goed gehandeld door die te installeren. Hetzelfde geldt voor het waarschuwen van de getroffen gebruikers.

Cupid Media had vanwege het overtreden van de privacywetgeving een boete van 1,2 miljoen euro kunnen krijgen, maar de Information Commission besloot die niet uit te delen, mede door de maatregelen die het bedrijf heeft genomen en de samenwerking die plaatsvond.