En omfattande dataskandal har dragit uppmärksamheten mot det indiska AI-företaget Vibetech. Cybersecurity-forskaren Jeremiah Fowler har upptäckt en oskyddad databas som innehåller 13,7 miljoner personuppgifter. Detta inkluderar namn, telefonnummer, e-postadresser, lösenord och bankuppgifter – en riktig skräckblandning för dem som drabbas.

Fowler fann databasen tillgänglig online utan någon form av säkerhetsautentisering eller lösenord. Han noterade att serverns IP-adress var knuten till en data intelligence-plattform som drivs eller utvecklats av Vibetech. Denna plattform verkar aggregera data från tidigare läckor och dataintrång, bland annat:

• Interpol Data Leak: 929 records
• AT&T Data Leak: 7 910 431 records
• FBI Employee Directory: 4 084 records
• Casio.ru Data Breach: 1 714 752 records
• Walmart Private Combo: 420 368 records
• Amazon Private Combo: 1 210 905 records
• BluBank Digital Bank Leak: 24 021 records
• Gambling Private Combo: 2 241 617 records

Fowler kontaktade omedelbart Vibetech och dess hosting-leverantör och skickade en ‘responsible disclosure notice’. Databasen begränsades inom kort, och följande dag visade samma IP-adress en ISMS-kompatibilitetsdashboard istället för de exponerade lösenorden. En ISMS (Information Security Management System) är ett riskbaserat ramverk som hjälper organisationer att etablera, implementera och övervaka kontroller för att systematiskt hantera och skydda deras känsliga data.

Risken med re-exponerade lösenord är enorm. Cyberkriminella kan använda dessa för att få åtkomst till e-postkonton, online-shoppning eller finansiella konton, stjäla personlig information eller genomföra bedrägerier. Telefonnummer och bankuppgifter kan användas för att skapa övertygande nätfiskare. Fall liknande Instagram recovery-tool-brister som exponerar konton gör det tydligt att även svaga återställningsmekanismer kan vara destruktiva för användares räkning.