Благотворительная организация оставила на открытом сервере данные миллионов участников

На незащищенном сервере найдены данные около 3,7 млн участников некоммерческой организации Leadership for Education Entity (LEE), сообщает TechNadu.com.

LEE – американская неправительственная структура, работающая над устранением неравенства в сфере образования. Организуя индивидуальное обучение, создавая специальные рабочие пространства, предоставляя различные образовательные ресурсы и стипендии, Leadership for Education Entity позволяет участникам получать развитие в качестве политиков, юристов, демократически избранных лидеров и общественных активистов.

К сожалению, защита информации в LEE оказалась явно не на высоте. Согласно отчету исследователя безопасности Джеремайя Фаулера (Jeremiah Fowler), на оставленном без парольной защиты сервере ElasticSearch оказались более 5,2 млн документов, относящихся примерно к 3,7 млн человек. К этому хранилищу мог получить доступ любой желающий. Более того, каждый неизвестный посетитель автоматически становился администратором и мог редактировать базу данных, проникая глубоко в сетевые ресурсы LEE.

Скомпрометированная база включала такую информацию, как полные имена людей, их домашние адреса, половая и этническая принадлежность, а также годы обучения и ID в системе Salesforce. К счастью, не утекло никакой защищенной медицинской информации и данных платежных карт.

Фаулер сообщил, что обнаружил незащищенный сервер 26 июля, но только 31 июля, после многочисленных обращений в службу техподдержки LEE, хранилище оказалось защищено паролем. Leadership for Education Entity до сих пор не выступила с официальным объяснением инцидента и не принесла извинения пострадавшим людям.

Обычно некоммерческие организации обладают весьма ограниченными возможностями по созданию систем защиты информации, поэтому часто становятся жертвами утечек, констатирует Фаулер. Однако, в случае с LEE солидный список ее благотворителей и серьезные финансовые возможности не оставляют поводов для оправданий, убежден исследователь. По его словам, у организации есть все необходимое для того, чтобы нанимать больше ИТ-специалистов, создавать системы безопасности и обрабатывать информацию своих членов более ответственно.