供應商惹禍！知名律所客戶敏感數據被Azure云暴露超半年

安全內參4月11日消息，美國知名國際律師事務所普洛思（Proskauer Rose）因安全漏洞導致客戶敏感數據暴露，持續時間超過六個月。

一位知情人士表示，普洛思律所將并購業務數據保存在一個不安全的微軟Azure云服務器上。

外媒TechCrunch獲得了部分暴露數據集，其中包含約18.4萬個文件。只要知曉存儲位置，任何人都能通過網絡瀏覽器訪問這些文件，具體涉及私人和高權限財務及法律文件、合同、保密協議、金融交易以及知名收購相關文件。

這臺暴露云服務器由GrayHatWarfare發現。GrayHatWarfare是一個可搜索的數據庫，能夠索引公開可見的云存儲及文件。據了解，這些文件已在網上公開至少六個月之久。

圖：安全內參截自GrayHatWarfare官網

普洛思律所在兩周前解決了暴露問題，但尚未通知客戶。在這家律所網站的客戶清單中，列出了美國職業棒球大聯盟、摩根士丹利等眾多大牌組織機構。

在我們聯系該公司提出置評請求時，普洛思律所拒絕回應與暴露數據的規模及性質相關的問題，但也沒有對這些說法提出異議。該公司也不清楚數據是如何暴露的，但因服務器配置錯誤而人為引發的類似問題并不少見。

在發給TechCrunch的電子郵件中，普洛思律所似乎錯誤將數據泄露稱為“網絡攻擊”，畢竟目前既沒有惡意跡象，也沒有提到是否掌握關于數據滲漏的證據。

根據公司發言人Joanne Southern提供的一份聲明，普洛思律所表示最近剛剛發現“聘請的一家外部供應商在第三方云存儲平臺上創建了信息門戶，但沒有對其進行適當保護。”

普洛思律所拒絕透露這家供應商的名稱。

Southern表示，“我們的IT安全團隊立即采取措施，重新配置了站點并保護相關數據。調查正在進行當中，我們也一直與內部及第三方網絡安全專家開展緊急合作，以確認目前對事態的把握。我們非常重視數據保護工作，正采取積極措施以監控并防止任何對這部分數據的未經授權訪問或使用。”

Southern指出，普洛思律所將“在獲得充分的信息之后，以負責任的態度立即與受到影響的各方進行溝通。”