Les chercheurs en sécurité ont découvert une base de données de recrutement erronée qui fuyait près de 26 millions de fichiers, les experts en sécurité avertissant que ce type d'incident devient de plus en plus fréquent.

Selon un rapport de CyberNews , Talenthook - une plate-forme de suivi des candidats en ligne reliant les services RH aux demandeurs d'emploi - avait laissé un conteneur de stockage Blob Azure mal configuré et accessible au public.

En conséquence, le curriculum vitae de millions de citoyens américains a été exposé, notamment des noms complets, des adresses e-mail, des numéros de téléphone, des antécédents scolaires, des qualifications professionnelles et des histoires d'emploi.

"Le niveau de détails personnels contenus dans ces curriculum vitae exposés les rend idéaux pour les attaques de phishing très ciblées", a expliqué l'équipe CyberNews.

"Les adresses e-mail et les numéros de téléphone peuvent être exploitées dans des e-mails de phishing, des escroqueries par SMS ou de fausses offres d'emploi con?ues pour inciter les individus à divulguer des données sensibles telles que les analyses d'identité ou les informations bancaires."

Les chercheurs avertissent que ces données pourraient s'avérer précieuses pour les cybercriminels ciblant les chasseurs d'emplois. Ces derniers mois, des groupes comme le groupe de Lazare soutenu par l'état nord-coréen se sont spécifiquement concentrés sur les demandeurs d'emploi.

Des recherches antérieures de cette année ont révélé comment le groupe utilisait des plateformes comme LinkedIn ou l'identité des recruteurs par e-mail et WhatsApp pour attirer les victimes.

Renforcer les pratiques de configuration de stockage

Tim Mackey, responsable de la cha?ne d'approvisionnement des logiciels Risk chez Black Duck, a déclaré que cet incident met en évidence les risques graves associés aux erreurs de configuration négligées et a exhorté les entreprises à améliorer leurs processus de gestion de la configuration.

"Les systèmes mal configurés, les machines virtuelles, les conteneurs, les microservices et les bases de données ne sont pas de nouveaux problèmes", a-t-il noté.

"Par exemple, les exemples de données de cette violation montrent des identifiants masqués comme les adresses e-mail et les numéros mobiles, ce qui suggère que ces champs n'étaient pas cryptés ou qu'une API non sécurisée a également contribué à la fuite."

Dray Agha, directeur principal des opérations de sécurité chez Huntress, a soutenu le point de vue de Mackey, soulignant que des incidents comme celui-ci deviennent plus routine.

"Le stockage du cloud mal configuré - comme le conteneur azur exposé dans ce cas - est un problème choquant et évitable, en particulier parmi les organisations qui gèrent les données personnelles sensibles", a déclaré Agha.

"Les organisations doivent effectuer des audits de configuration réguliers, appliquer des politiques d'accès à moins de privilèges et maintenir une surveillance continue pour empêcher une exposition à grande échelle d'informations personnelles."

L'équipe CyberNews a déclaré avoir contacté TalentHook et a conseillé à l'entreprise d'ajuster les paramètres d'accès pour restreindre l'accès public et sécuriser le conteneur, tout en mettant à jour les autorisations pour garantir que seuls les utilisateurs ou les services autorisés peuvent accéder aux données.

Assurez-vous de suivre PHP.CN sur Google News pour toutes nos dernières mises à jour, analyse d'experts et avis.

Ce qui précède est le contenu détaillé de. pour plus d'informations, suivez d'autres articles connexes sur le site Web de PHP en chinois!