Haker tvrdi da je preuzeo podatke svih 270.000 Intel zaposlenih – zbog propusta na internim sajtovima

Osetljive informacije o svakom Intel zaposlenom navodno su bile dostupne svakome ko bi iskoristio slabosti u internim sajtovima kompanije, tvrdi bezbednosni istraživač.

Propusti rasprostranjeni kroz više Intel portala stvorili preklapajuće slabosti sistema

Istraživač sigurnosti, Eaton Z, opisao je ranjivosti u detaljnom blog postu, otkrivši da je portal za vizit karte zaposlenih sadržao login sistem koji je mogao lako da se manipuliše.

Izmenom načina na koji je aplikacija verifikovala korisnike, Eaton je uspeo da pristupi podacima bez validnih kredencijala.

Fajl ogromnih razmera

Ono što je počelo kao manji propust ubrzo je otkrilo mnogo širu izloženost podataka. Sistem je pružao pristup informacijama daleko izvan svoje prvobitne funkcije.

Eaton je opisao kako je preuzeo fajl veličine skoro jedan gigabajt koja je sadržala lične podatke čak 270.000 Intel zaposlenih. Ovi zapisi uključivali su imena, pozicije, menadžere, adrese i brojeve telefona. Razmere curenja ukazuju na rizike mnogo veće od pukog narušavanja reputacije.

U pogrešnim rukama, ovakvi podaci mogli bi da podstaknu krađu identiteta, fišing napade ili socijalni inženjering.

Višestruke ranjivosti na različitim sajtovima

Incident nije bio ograničen na jedan sistem. Eaton je prijavio da su još tri Intel portala bila ranjiva na slične tehnike.

• Interni sajtovi poput „Product Hierarchy“ i „Product Onboarding“ portala sadržali su hardkodovane kredencijale koje je bilo lako dešifrovati.
• Još jedna korporativna login stranica za Intelov sajt za dobavljače takođe je mogla da se zaobiđe.

Zajedno, ove ranjivosti su činile više preklapajućih „vrata“ ka internom okruženju kompanije, što predstavlja ozbiljan problem za firmu koja često naglašava značaj digitalnog poverenja.

Intelova reakcija i otvorena pitanja

Intel je obavešten o problemima još u oktobru 2024., a kompanija ih je ispravila tek do februara 2025.

Eaton, međutim, nije dobio bug bounty nagradu, jer Intelov program eksplicitno isključuje ovakve slučajeve. Jedina komunikacija iz kompanije bila je automatizovana poruka, što otvara pitanja koliko ozbiljno su prijave shvaćene.

Šira poruka za sajber bezbednost

Današnja sajber bezbednost je složena: firme mogu da koriste firewall zaštitu i sigurnosne pakete, a da ipak jednostavan previd u dizajnu aplikacije otvori put ka kritičnim sistemima.

Ovaj slučaj pokazuje da ranjivosti ne moraju biti egzotični hardverski propusti – ponekad su dovoljne banalne greške u implementaciji.

Izvor: Techradar