В системах крупных интернет-компаний всё чаще обнаруживаются различные уязвимости и недоработки критического характера. На этот раз в списке таковых засветилась Amazon — к её базе предпочтений пользователей медиасервиса Prime Video мог получить доступ любой желающий.
По словам специалиста по кибербезопасности Анурага Сена (Anurag Sen), база с описанием предпочтений пользователей хранилась на внутреннем сервере Amazon и была доступна любому пользователю Сети, поскольку не имела никакой защиты, включая простейшей защиты паролем. Доступ можно было получить непосредственно из браузера — достаточно было знать IP-адрес сервера.
База на основе Elasticsearch под названием Sauron содержала порядка 215 млн обезличенных данных о пользовательских привычках — названиях сериалов, на каких устройствах они воспроизводились, а также включавших прочие сведения для внутреннего пользования вроде качества сетевого соединения и деталей подписки.
По данным поискового движка Shodan, база была впервые обнаружена и стала доступна в Сети 30 сентября. К счастью для пользователей, записи такого типа псевдонимизированы, поэтому по ним нельзя установить самого пользователя или крайне сложно это сделать. Тем не менее, инцидент свидетельствует об очередной неверной конфигурации серверов, время от времени допускаемой даже интернет-гигантами.
Как сообщает портал TechCrunch, после выявления инцидента редакция связалась с Amazon, вскоре после этого доступ к базе был закрыт. По данным самого медиасервиса, имела место т.н. ошибка развёртывания аналитического сервера Prime Video. Проблема была устранена и никак не связана с безопасностью сервисов AWS. Кроме того, отсутствовал доступ к важнейшим сведениям вроде логинов и платёжных данных.
