출처 : https://jp.techcrunch.com/2018/07/23/2018-07-20-data-breach-level-one-automakers/
보안을 연구하는 UpGuard Cyber Risk는 앞서 금요일에, GM, 피아트 크라이슬러, 포드, 테슬라 , 도요타, 티센 크루프, 그리고 폭스 바겐을 포함한 100 개 이상의 제조 회사의 중요 문서가 Level One Robotics이 소유 한 서버에서 누구나 액세스 가능한 상태가되어 있었다고 발표했다.
UpGuard Cyber Risk에 의하면, 산업 자동화 서비스를 제공하는 Level One Robotics 서버가 대량의 데이터 세트를 백업 할 때 사용되는 파일 프로토콜 인 rsync를 통해 누구나 액세스 가능한 상태가 된 있었 이다. 이 데이터 유출을 처음 보도 한 것은 New York Times 이었다.
보안 연구원에 따르면,이 rsync 서버에 액세스 제한이 들지 않았다. 즉, 어떤 rsync 클라이언트에서도 rsync 포트에 연결하면 데이터를 다운로드 할 수 있었다는 것이다. UpGuard Cyber Risk는 어떻게 그 정보 누설 상태 를 발견했는지를 여기에서보고하고있다 . 이것을 읽으면보기 보안이 제대로 지켜지고있는 것 같다 대기업의 공급망 중 한 기업이 전체에 어떻게 영향을 미치는지 알 수있다.
이것이 의미하는 것은 만약 어디를 보면 좋을지를 알고 있다면 자동차 메이커에 의해 지켜지고있는 영업 비밀에 접근 할 수 있다는 것이다. 이번 악의적 인 공격자가 실제로 데이터를 손에했는지 여부는 불분명하다. 영향을받은 자동차 메이커 중 적어도 하나의 정보 소스가 TechCrunch에 밝힌 바에 의하면, 기밀 또는 독점 데이터가 공개 된 것 같지는 않다는 것이다.
UpGuard 의한 교훈은 다음과 같은 것이다 : rsync의 액세스는 IP 주소에 의해 제한되어야한다. 연구자들은 또한 클라이언트가 데이터를 수신하기 위해서는 인증을하여야 않도록 rsync 사용자 설정을 할 것을 권장한다. 이러한 조치를하고 있지 않으면, rsync는 누구든지 액세스 할 수 있다고 연구원은 지적한다.
이 사안은 157 기가 바이트의 데이터를 액세스 가능한 상태로 있었다. 조립 라인의 설계도, 공장 평면도와 레이아웃, 로봇의 위치 및 문서 ID 일괄 신청 양식, 그리고 VPN 액세스 신청 양식 등, 10 년에 걸친 정보의 금광이었던 것이다. 공개 된 데이터 중 일부는 테슬라의 것도 포함 중요한 기밀 유지 계약 (NDA)도 포함되어 있었다.
그 밖에도 Level One의 일부 직원의 개인 정보, 예를 들면 운전 면허증이나 여권의 스캔 이미지 나 Level One의 비즈니스 데이터, 예를 들면 청구서, 계약서, 은행 계좌 정보 등 접근 가능한 상태가 있었다.
보안 팀이이 문제를 발견 한 것은 미국 시간 7 월 1 일이다. 그들은 7 월 9 일에는 Level One에 연락을했고, 다음날에는 문제에 대한 조치가 이루어 공개는 멈췄다.