Digest de la Sécurité des Bases de Données – Novembre 2018
Veuillez jeter un œil aux plus grands incidents de sécurité des bases de données de novembre 2018.
Voxox
Voxox, un fournisseur de communications de San Diego, a divulgué une base de données contenant au moins 26 millions de messages texte, dont la plupart sont des liens de réinitialisation de mots de passe, des codes de double authentification et des notifications d’expédition.
Il a été découvert que la base de données n’était pas protégée par un mot de passe, ce qui a entraîné l’exposition de données personnelles sensibles, de numéros de téléphone et de messages de codes de double authentification, etc. Ce qui rendait cette fuite de données plus dangereuse était le fait que les messages étaient exposés en quasi-temps réel.
Ces informations sont très utiles pour les criminels impliqués dans le détournement de compte. La raison principale de cette exposition de données est le fait que la base de données n’était pas protégée par un mot de passe. Et cela constitue la première étape dans la sécurisation des données.
Il est impossible pour les humains d’effectuer une surveillance continue de tous les actifs informatiques propriétaires. Seule la machine peut le faire ! La suite de sécurité des bases de données DataSunrise possède plusieurs modules capables de cela et bien plus encore ! Veuillez télécharger votre version d’essai dès maintenant !
Service Postal des États-Unis
60 millions de détails de compte des clients du Service Postal des États-Unis ont été exposés en raison d’une vulnérabilité de l’API.
Le USPS proposait aux entreprises un service appelé “Informed Visibility” qui leur permettait de suivre les données des colis en temps quasi réel. Cependant, en plus de ces informations, l’API permettait également à quiconque connecté au site officiel de l’entreprise de consulter les détails de compte de tout autre utilisateur du site et même de modifier certaines informations sensibles.
Selon les chercheurs, tout cybercriminel potentiel pouvait accéder aux adresses e-mail, noms d’utilisateur, ID utilisateurs, numéros de compte, adresses postales et numéros de téléphone.
Les chercheurs expliquent également que les développeurs de l’API ont oublié d’ajouter l’élément clé de la cybersécurité lors de la conception de l’API : les contrôles d’accès.
Le USPS affirme que l’exposition potentielle des données n’a été utilisée dans aucune entreprise criminelle et ils prennent cet incident très au sérieux.
Atrium Health
Atrium Health, un fournisseur de programmes de soins de santé et de bien-être, anciennement connu sous le nom de Carolinas HealthCare Systems, a annoncé une violation massive de données. Après que le fournisseur tiers de l’entreprise, AccuDoc, ait été piraté, Atrium Health a annoncé que environ 2,65 millions de dossiers de patients avaient potentiellement été compromis. Les données exposées comprennent les détails d’assurance des patients, les numéros de dossiers médicaux, les numéros de factures, les adresses, les dates de naissance et les numéros de sécurité sociale.
Les chercheurs en sécurité informatique disent que la gestion des risques des tiers est un problème très important de nos jours. La protection de la base de données de votre entreprise peut être très efficace, mais lorsqu’il s’agit de partager des données propriétaires avec des tiers, de gros problèmes peuvent survenir. Les entreprises doivent donc être très prudentes lorsqu’elles choisissent un fournisseur, un partenaire ou lors de l’expansion de leurs activités.
Une enquête judiciaire a été lancée par les deux entreprises.
Marriott
Marriott, la célèbre chaîne hôtelière, a confirmé que des informations sensibles de 500 millions de ses clients ont potentiellement été compromises.
Dans la déclaration officielle, l’entreprise indique qu’en septembre 2018, Marriott a été alerté par son outil de sécurité interne d’une tentative d’accès à l’une de ses bases de données de réservation de clients. L’entreprise a immédiatement lancé une enquête pour comprendre ce qui se passait.
Marriott a rapidement appris que quelqu’un avait accès non autorisé à son réseau interne depuis 2014. Les informations accédées ont été copiées et cryptées et certaines mesures ont été prises pour retirer les informations. En novembre 2018, l’entreprise a finalement pu décrypter les informations.
L’entreprise craint que jusqu’à environ 500 millions de clients ayant effectué une réservation puissent figurer dans la base de données exposée. Les données comprennent les éléments suivants : noms, adresses postales, numéros de téléphone, e-mails, numéros de passeport, informations de compte client, dates de naissance, sexe, informations d’arrivée et de départ, dates de réservation et préférences de communication.
Mises à jour de sécurité pour les bases de données
Oracle
https://nvd.nist.gov/vuln/detail/CVE-2018-5407MS SQL Server
https://nvd.nist.gov/vuln/detail/CVE-2018-18982MySQL
https://nvd.nist.gov/vuln/detail/CVE-2018-15768https://nvd.nist.gov/vuln/detail/CVE-2018-19654
https://nvd.nist.gov/vuln/detail/CVE-2018-19558
https://nvd.nist.gov/vuln/detail/CVE-2018-19328
https://nvd.nist.gov/vuln/detail/CVE-2018-18805
https://nvd.nist.gov/vuln/detail/CVE-2018-19222
MS SQL Azure
https://nvd.nist.gov/vuln/detail/CVE-2018-8600IBM DB2
https://nvd.nist.gov/vuln/detail/CVE-2018-1897https://nvd.nist.gov/vuln/detail/CVE-2018-1857
https://nvd.nist.gov/vuln/detail/CVE-2018-1834
https://nvd.nist.gov/vuln/detail/CVE-2018-1802
https://nvd.nist.gov/vuln/detail/CVE-2018-1799
https://nvd.nist.gov/vuln/detail/CVE-2018-1781
https://nvd.nist.gov/vuln/detail/CVE-2018-1780
Apache Hive
https://nvd.nist.gov/vuln/detail/CVE-2018-17187https://nvd.nist.gov/vuln/detail/CVE-2018-1314
https://nvd.nist.gov/vuln/detail/CVE-2018-11777
