Innehållsförteckning:
Vad du behöver veta
- Två israeliska säkerhetsforskare upptäckte en okrypterad Biostar 2-databas med 23 GB värde
- I uppgifterna ingick fingeravtryck, ansiktsskanningar, användarnamn, lösenord och annan personlig information från över 1 miljon människor.
- Sårbarheten har nu stängts och företaget gör en djupgående utvärdering av informationen.
Förra veckan upptäckte de israeliska säkerhetsforskarna Noam Rotem och Ran Locar en mestadels okrypterad offentligt tillgänglig Biostar 2-databas online. Databasen inkluderade fingeravtryck, ansiktsskanningar, användarnamn och lösenord och personlig information från över 1 miljon människor.
Biostar 2 är ett biometriskt låssystem utvecklat av säkerhetsföretaget Suprema som integreras med AEOS åtkomstkontrollsystem. AEOS används just i 83 länder över hela världen och 5 700 organisationer, inklusive regeringar, banker och den brittiska storstadspolitiken.
Rotem och Locar hände på denna databas under ett sidoprojekt med vpnmentor där de skannar "portar som letar efter kända IP-block och sedan använder dessa block för att hitta hål i företagens system som potentiellt kan leda till dataintrång."
Efter att paret hittade Biostar 2: s databas kunde de söka i databasen och manipulera URL: er för att få tillgång till data.
Forskarna hade tillgång till över 27, 8 miljoner poster och 23 gigabyte-data inklusive administratörspaneler, instrumentpaneler, fingeravtrycksdata, ansiktsigenkänningsdata, ansiktsbilder från användare, okrypterade användarnamn och lösenord, loggar över anläggningstillträde, säkerhetsnivåer och godkännande, och personliga uppgifter om personalen.
Rotem sade till Guardian och sa att de flesta användarnamn och lösenord var okrypterade och att de också kunde ändra data och lägga till nya användare i systemet.
I tidningen om upptäckten som tillhandahölls till Guardian innan den publicerades av vpnmentor på onsdag sade forskarna att de kunde få tillgång till data från samarbetsorganisationer i USA och Indonesien, en gymkedja i Indien och Pakistan, en läkemedelsleverantör i Storbritannien och en bilutvecklare för bland annat parkeringsplatser i Finland.
Vad som gör detta ännu farligare är forskarna påpekade att databasen innehåller människors fingeravtryck. Det betyder att fingeravtrycket kan kopieras och användas av andra, istället för att lagra en hash av fingeravtrycket som inte kan omvända.
Rotem och Locar gjorde flera försök att kontakta Suprema innan de skickade sitt papper till Guardian sent förra veckan, och från och med onsdag morgon har sårbarheten fixats. Marknadschefen på Suprema, Andy Ahn, berättade för Guardian att företaget gör en "djupgående utvärdering" av informationen och:
Om det har förekommit något definitivt hot på våra produkter och / eller tjänster kommer vi att vidta omedelbara åtgärder och göra lämpliga meddelanden för att skydda våra kunders värdefulla företag och tillgångar.
Vi har alla sett nyheterna om säkerhetsbrott och mer än troligt har du varit offer för en av dessa tidigare. Det kräver vanligtvis att du ändrar ditt lösenord, men när det gäller dina biometriska data kan du inte bara ändra ditt fingeravtryck eller ansikte.
Hur säker är ansiktsigenkänningen på Galaxy S10?
