Великобритания е в центъра на внимание, след като Office for Budget Responsibility (OBR) обяви, че подробности от Autumn Budget станаха публично достъпни почти час преди председателят да представи речта си в парламента.

Документът, качен в папка, използвана при предишни бюджетни публикации, е бил лесно откриваем заради предсказуеми имена на файлове и лошо управление на съдържанието, което засега се смята за най-вероятната причина за изтичането.

Как се случи инцидентът

• Председателят на OBR Ричард Хюз нарече случая „техническа грешка“ и се извини;

• Файлът не е бил публикуван на официалния уебсайт, но линкът е бил открит и бързо премахнат;

• Според източници на Whitehall, PDF документът е бил качен в стара папка за предишни бюджети, следвайки стандартизирана и предсказуема схема на именуване;

• Замяната на „March“ с „November“ в адреса на предишен документ е позволявала достъп до актуалния PDF.

Рисковете от предсказуемите файлови URL

Експерти предупреждават, че този тип практики улесняват атакуващите:

• Роб Андерсън, ръководител на reactive consulting в Reliance Cyber: „Атакуващите използват автоматизирани техники, наречени fuzzing, за да открият скрити файлове и конфигурации.“

• Иън Кейн, независим консултант по киберсигурност: „Често се използва Google dorking, за да се открият файлове, които никога не е трябвало да бъдат публични. Проблемът е, че важен информационен ресурс не е бил адекватно управляван.“

Как да се избегнат подобни инциденти

Според експертите, грешката се дължи на слаби процеси за управление на съдържанието:

• Системите за управление на съдържание (CMS) могат да подготвят документи в „стейджинг“ области, проверявайки безопасността им преди публикуване;

• Използване на рандомизирани имена на файлове, прилагане на уеб защитни стени и ясен мануален контрол на embargoed документи;

• Поддържане на регистри на активи и проследяване на състоянието на данните – разликата между псевдонимизация и анонимизация трябва да бъде ясна;

• PDF форматът сам по себе си е сигурен, когато се управлява правилно, и предлага функции за конфиденциалност и целостта на съдържанието.

Докато резултатите от разследването на OBR ще бъдат публикувани в понеделник, едно от основните препоръки ще бъде по-холистичен подход към управлението на чувствителна информация и внимателно боравене с PDF документи преди публично публикуване.

Случаят показва, че понякога най-големите пропуски в сигурността идват не от хакери, а от вътрешни процеси и човешки грешки.