თითქმის მილიონი ადამიანის პასპორტი და პირადობის მოწმობა ინტერნეტში დაუცველად ინახებოდა. მონაცემები, რომლებიც მოიცავდა როგორც ფოტოსურათებს, ისე პირად მონაცემებს, ნებისმიერი მსურველისთვის ხელმისაწვდომი იყო. უსაფრთხოების მკვლევარმა სემი აზდოფალმა აღმოაჩინა, რომ დოკუმენტები დაცული არ იყო არც პაროლით და არც წვდომის კონტროლის რაიმე სისტემით.

საუბარია Cannabis Club Systems-ზე (ყოფილი Nefos Solutions), ირლანდიურ კომპანიაზე, რომელიც ესპანეთში მოქმედი კანაფის კლუბებისთვის პროგრამულ უზრუნველყოფას ამუშავებს. კლუბები აღნიშნულ სისტემას წევრთა რეგისტრაციისთვის, აღრიცხვისა და შესვლის კონტროლისთვის იყენებდნენ.

მკვლევარის თქმით, გაჟონილი მონაცემები მოიცავდა არა მხოლოდ პირადობის დამადასტურებელ დოკუმენტებს, არამედ ტელეფონის ნომრებს, სახლის მისამართებსა და მომხმარებელთა პრეფერენციებს კანაფის მოხმარებასთან დაკავშირებით. მონაცემთა ბაზაში ფიქსირდებიან როგორც ცნობილი ადამიანები, ისე ათობით ათასი უცხოელი ვიზიტორი, მათ შორის აშშ-ის მოქალაქეები.

პრობლემა კომპანიის მიერ შემუშავებულ აპლიკაცია PuffPal-ში და მის დაუცველ API-ებში აღმოჩნდა. აზდოფალმა გაარკვია, რომ სისტემაში შესვლა და მონაცემების ნახვა მარტივი მანიპულაციით იყო შესაძლებელი. მეტიც, ფოტოები საჯარო URL-მისამართებზე იყო განთავსებული, რაც ნებისმიერ ჰაკერს მათი ჩამოტვირთვის საშუალებას აძლევდა.

უსაფრთხოების კრიზისი და კომპანიის რეაქცია

კომპანიის თანადამფუძნებელი ანდრეას ნილსენი აცხადებს, რომ ისინი თანამშრომლობენ ირლანდიის მონაცემთა დაცვის ორგანოსთან (DPC). ნილსენის თქმით, ამ ეტაპზე არ არსებობს იმის მტკიცებულება, რომ მონაცემები მკვლევარის გარდა ვინმემ გამოიყენა, თუმცა კომპანია აღიარებს, რომ უსაფრთხოების ზომები არასაკმარისი იყო. კომპანიამ გადაწყვიტა PuffPal-ის სისტემის გათიშვა და აპლიკაციის განვითარებაზე პასუხისმგებელ აუთსორსინგულ ფირმასთან, 9Series-თან თანამშრომლობის შეწყვეტა.

მიუხედავად იმისა, რომ Nefos-მა გარკვეული ხარვეზები დროებით აღმოფხვრა, მკვლევარმა აღმოაჩინა, რომ ზოგიერთი მონაცემი, მათ შორის პირადი ინფორმაცია, კვლავ ხელმისაწვდომი რჩებოდა. მხოლოდ მას შემდეგ, რაც ეს საკითხი საჯარო განხილვის საგანი გახდა, კომპანიამ სრულად დახურა დაუცველი არხები.

ევროკავშირის კანონმდებლობის თანახმად, კომპანია ვალდებული იყო მონაცემთა გაჟონვის შესახებ ინფორმაცია 72 საათის განმავლობაში გაეჟღერებინა, რაც მათ დროულად არ გააკეთეს. ნილსენი აღიარებს, რომ კომპანია სავარაუდოდ დაჯარიმდება და პასუხისმგებლობას სრულად იღებს მომხდარზე.