Amazon z ręką w nocniku! Można sprawdzić kto oglądał „Pierścienie Władzy”

Ostatnimi czasy co i rusz dowiadujemy się o tym, że większym (jak Facebook) i mniejszym (jak na przykład Uber) korporacjom technologicznym wymykają się z rąk nasze dane (a artystom wymyka się muzyka). Tym razem z to Amazon obudził się i przecierając twarz poczuł intensywny zapach amoniaku. Gigantyczna baza danych zawierająca dane o nawykach użytkowników wypłynęła w sieci.

Anurag Sen, badacz bezpieczeństwa, odkrył bazę danych na wewnętrznym serwerze Amazona, który był dostępny wprost z Internetu. Baza nie była chroniona żadnym hasłem, więc dostęp do niej miał każdy, kto poznałby adres IP. Zbiór danych został zatytułowany „Sauron” co jest, jak zapewne większość wie, imieniem głównego czarnego charakteru Władcy Pierścieni. Trąci to ironią w kontekście niedawnej premiery ostatnich odcinków pierwszego sezonu Pierścieni Władzy i kontrowersji związanych z tożsamością tej postaci w amazonowskim serialu (pomijając już kontrowersje odnoście całej produkcji).

Wyszukiwarka Shodan podaje, że ta baza danych została po raz pierwszy udostępniona w Internecie 30 września, a więc dostęp do niej jest od około miesiąca. Rzecz jasna po zgłoszeniu Anurag Sena, baza została przez Amazon niezwłocznie zabezpieczona.

Baza danych zawierała około 215 milionów wpisów na temat pseudonimów użytkowników, oglądanych programów lub filmów oraz urządzeń, na które strumieniowano transmisje. Można tam było też znaleźć informacje wewnętrzne, jak jakość sieci użytkownika i szczegóły jego subskrypcji. 

Ilość danych jakie Amazon zostawił niezabezpieczone może budzić niepokój, ale z analiz portalu TechCrunch wynika, że na podstawie danych zawartych w „Sauronie” nie można było zidentyfikować klientów Amazona z imienia i nazwiska. Naświetla to jednak poważny problem jakim jest zła konfiguracja serwerów, które pozostają online bez hasła. Rzecznik Amazona Adam Montgomery opublikował oświadczenie:

Wystąpił błąd wdrażania serwera analitycznego Prime Video. Ten problem został rozwiązany i żadne informacje o koncie (w tym dane logowania i płatności) nie zostały ujawnione

Źródło: techcrunch.com