ATTACCHI · VIOLAZIONE DI DATI PERSONALI
Twitch, ottobre 2021: un errore di configurazione espone codice e compensi
Il 6 ottobre 2021 un utente anonimo ha pubblicato su 4chan circa 128 GB di dati di Twitch, la piattaforma di streaming di Amazon: il codice sorgente del sito, strumenti interni e i compensi pagati ai creatori dal 2019. Twitch ha spiegato che i dati erano finiti su Internet per un errore in una modifica della configurazione di un server.
- Vittima
- Twitch
- Settore
- Streaming
- Paese
- Stati Uniti, con utenti in tutto il mondo
- Data
- 6 ottobre 2021
- Categoria
- Violazione di dati personali
- Causa
- Errore di configurazione
- Attore
- Non identificato. Non identificato
- Scenari di danno
- Notifica e responsabilità privacy · Responsabilità verso terzi
Le cause in breve
- Errore di configurazione. Una modifica alla configurazione di un server ha esposto dati a Internet (The Register).
- Nessuna intrusione vera. Secondo Bitdefender l'accesso è stato concesso per errore, senza violare l'infrastruttura (Bitdefender).
- Controllo mancato. Una verifica automatica delle modifiche di configurazione avrebbe potuto fermare l'esposizione.
L'impatto
- Pubblicati il codice sorgente del sito e delle app, altro software e strumenti interni (The Register; Bitdefender).
- Diffusi i compensi pagati ai creatori da agosto 2019 a ottobre 2021 (The Register).
- Nessuna prova di credenziali esposte; i numeri completi delle carte non sono conservati (The Register).
- Tutte le chiavi di streaming reimpostate (The Register).
Cosa avrebbe risposto una polizza cyber
Scenario indicativo su una polizza cyber standalone di mercato. Le condizioni reali dipendono dal contratto: limiti, franchigie, periodo di attesa ed esclusioni.
- Gestione dell'incidente (forensic, legale, comunicazione)RispondeIndagine forense, consulenza legale e comunicazione agli utenti rientrano nella risposta.
- Ripristino di dati e sistemiRispondeLa correzione della configurazione e la sostituzione delle chiavi rientrano nel ripristino.
- Business interruption propriaNon pertinenteIl servizio non si è fermato.
- Business interruption dipendente (fornitore)Non pertinenteIl danno è sui sistemi dell'assicurato.
- EstorsioneNon pertinenteNon risulta una richiesta di riscatto.
- Notifica e responsabilità privacyRispondeI compensi dei creatori sono dati personali: le notifiche rientrano nella garanzia.
- Responsabilità verso terzi e sanzioni, dove assicurabiliRisponde con limitiI creatori esposti possono chiedere i danni, ma le fonti non riportano cause.
- Frode e social engineeringNon pertinenteNon c'è stato un trasferimento fraudolento di denaro.
Esclusioni e limiti da controllare
- Errore umano. La maggior parte delle polizze copre la violazione da errore, ma alcune hanno condizioni sulle procedure di modifica.
- Proprietà intellettuale. La perdita di valore del codice sorgente non è coperta.
- Franchigia. Per un gruppo come Amazon il costo resta di solito nell'autoassicurazione.
La lettura per chi assume il rischio
Impatto per gli assicuratoriMedio
Nessun fermo, ma codice sorgente e dati economici dei creatori pubblicati per un solo errore di configurazione.
Nessun segnale di cumulo.