Giełda BTC ostrzegała przed Cloudflare, sama ujawniła dane użytkowników

Czasem życie przypomina komedię, w której próba uniknięcia jednego problemu powoduje, że jej bohater natrafia na kolejny problem, który sam stworzył. Taki właśnie los spotkał dwa dni temu polską giełdę kryptowalut dgtmarket.

Wczoraj na Wykopie użytkownik bialekwciagarogale zwrócił uwagę na ciekawy przypadek nieumyślnego wycieku informacji z polskiej giełdy kryptowalut dgtmarket. Jej pracownikom udało się ujawnić część adresów email użytkowników, a okoliczności tego incydentu były dość paradoksalne.

Uwaga, Cloudflare

Mimo relatywnie niedużego ryzyka związanego z możliwością ujawnienia danych użytkowników na skutek ciekawego incydentu Cloudflare, niektóre firmy korzystające z usług CF postanowiły poprosić swoich użytkowników o zmianę haseł i kluczy API. Oczywiście nadmiar ostrożności nie jest szkodliwy i szczególnie w przypadku giełd BTC, gdzie poziom ryzyka ataków jest dużo większy (ze względu na motywację finansową atakujących) taka prośba była jak najbardziej uzasadniona. dgtmarket wysłał zatem odpowiednią komunikację do swoich użytkowników. Wszystko mogło się dobrze skończyć, gdyby nie jeden szczegół…

Pracownik wysyłający emaile pomylił się i adresy setki użytkowników wkleił do pola „do”, ujawniając każdemu z tej grupy adresy pozostałych klientów. Choć zakres incydentu był ograniczony prawdopodobnie tylko do wspomnianej setki osób, które jednocześnie stały się ofiarami wycieku danych jak i posiadaczami tego fragmentu bazy użytkowników, to jednak mówimy o giełdzie BTC, gdzie można spodziewać się, że jeśli tylko wśród tej setki był ktoś bardziej przedsiębiorczy niż pozostali, to wkrótce na ujawnione adresy mogą przychodzić emaile próbujące wyłudzić dane lub zainfekować komputery. Prawdopodobnie także nie wszyscy użytkownicy giełdy mogą chcieć, by fakt, że obracają kryptowalutami, był znany innym osobom.

Na szczęście giełda dgtmarket zachowała się w tej trudnej sytuacji bardzo przyzwoicie. Na blogu pojawił się opis i wyjaśnienie incydentu, a na nasze zapytanie w tej sprawie bardzo wyczerpującą odpowiedź otrzymaliśmy w ekspresowym tempie (41 minut mimo wieczornej pory). Wynika z niej, że źródłem problemu było użycie przez pracownika giełdy złego formularza – zamiast do „wysyłki masowej do wszystkich” użył formularza do „korespondencji indywidualnej” i po prostu zaznaczył ręcznie dużą grupę odbiorców. W aplikacji wprowadzono zmiany uniemożliwiające ponowne popełnienie podobnego błędu. Takiej obsługi incydentów, otwartego opisywania problemu i tempa komunikacji niejedna polska firma może pozazdrościć.