Hardwarefabrikant Razer lekt privégegevens van 100.000 klanten
Hardwarefabrikant Razer, bekend van computermuizen en toetsenborden, heeft via een onbeveiligde database de privégegevens van zo'n honderdduizend klanten gelekt, zo meldt beveiligingsonderzoeker Bob Diachenko. Het ging onder andere om naam, e-mailadres, telefoonnummer, bestelgegevens, factuuradres en bezorgadres.
De data werd in een verkeerd geconfigureerde Elasticsearch-server aangetroffen. Elasticsearch is zoekmachinesoftware voor het indexeren van allerlei soorten informatie. Het wordt onder andere ingezet voor het doorzoeken van websites, documenten en applicaties, maar is ook te gebruiken voor analytics, monitoring en data-analyse.
De server stond sinds 18 augustus open voor het hele internet en was door verschillende zoekmachines geïndexeerd. Zo ontdekte Diachenko de server, waarna de onderzoeker Razer waarschuwde. Zijn melding kwam echter niet meteen bij de juiste mensen terecht, waardoor de server pas na meer dan drie weken werd beveiligd.
Update
Razer laat in een reactie aan Security.NL weten dat het excuses maakt voor het datalek en alle noodzakelijke maatregelen heeft genomen om het probleem te verhelpen. De verkeerde serverconfiguratie werd op 9 september aangepast, voordat Diachenko dit openbaar maakte. Klanten die nog vragen hebben kunnen met het bedrijf contact opnemen.
Sowieso zou het een hele verbetering zijn als fabrikanten helder moesten aangeven in hoeverre je hun servers nodig hebt voor functionaliteit. Tegenwoordig zijn de meest onbenullige zaken achter cloudgebeuren weggestopt, ook als daar overduidelijk geen enkele noodzaak voor is. Bij veel producten is totaal onduidelijk of dat het geval is en kom je daar pas na aankoop achter, of nog erger, verandert men het na verloop van tijd zoals Oculus dat nu an het doen is.
Sowieso zou het een hele verbetering zijn als fabrikanten helder moesten aangeven in hoeverre je hun servers nodig hebt voor functionaliteit. Tegenwoordig zijn de meest onbenullige zaken achter cloudgebeuren weggestopt, ook als daar overduidelijk geen enkele noodzaak voor is. Bij veel producten is totaal onduidelijk of dat het geval is en kom je daar pas na aankoop achter, of nog erger, verandert men het na verloop van tijd zoals Oculus dat nu an het doen is.
Helemaal eens. Als het over privacy gaat, dan zouden ze verplichte accounts die nergens voor nodig zijn moeten verbieden. Dit is wel het ultieme voorbeeld: "Een account voor een toetsenbord of muis!?!?!". Nog erger: producten die je verplichten om (ook) een account bij Facebook of Google te creëren, terwijl ze niets met deze dienstverleners van doen hebben. Zo is er een of andere VR bril die een Facebook account vereist.
Voor het verwerken van de bestelling heb je de gegevens slechts nodig totdat het product verzonden is en de garantieafhandeling kan prima via het serienummer. Zo ging het in het pre-internet tijdperk ook. Voor mijn Commodore 64 was ook geen account nodig.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Junior DevOps Engineer
Certified Secure is op zoek naar een Junior DevOps Engineer. Deze functie is een stuk interessanter dan de term doet vermoeden! Om jou als potentiële nieuwe collega meteen te laten zien wat we doen hebben we speciaal voor jou een selectie gemaakt van een aantal leuke security challenges. Are you ready for a challenge?
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
