Blackstone-Tochter Beam Living legte Sozialversicherungsnummern und Geburtsdaten offen
A Blackstone real estate company exposed SSN digits, DOBs, addresses and more
Bei einer Wohnungssuche in New York entdeckte ein Sicherheitsforscher eine schwerwiegende Schwachstelle im GraphQL-Endpunkt des Leasingportals von Beam Living, einem Blackstone-Unternehmen. Durch Manipulation der contactId konnten Angreifer mit nur einer E-Mail-Adresse auf sensible Daten von Bewerbern zugreifen, darunter die letzten vier Ziffern der Sozialversicherungsnummer, Geburtsdaten, Adressen, Telefonnummern und IP-Adressen. Die Schwachstelle betraf alle Gemeinschaften von Beam Living, von StuyTown bis 8 Spruce. Nach monatelanger vergeblicher Meldung wurde das Problem schließlich stillschweigend behoben – ohne ordnungsgemäßen Offenlegungsprozess.
Es ist einfacher, die letzten vier Ziffern der Sozialversicherungsnummer einer Person zu finden als eine Wohnung.
- tptacek
Beam Living ist nur die Property-Management-Firma, die die Gebäude verwaltet, die Blackstone in New York City besitzt. Es gibt Tausende solcher Firmen im ganzen Land, und wenn man bei irgendeiner davon genauer hinschaut, findet man so etwas.
Es ist nichts falsch daran, Geschichten so zu präsentieren, aber zur Einordnung: Wenn man sich das Archiv dieses Forschers anschaut, sind sie im Grunde alle "Ich habe eine Schwachstelle in irgendeinem Ding eines großen Unternehmens gefunden". Der Nachrichtenaufhänger hier ist buchstäblich nur "Ich habe einen GraphQL-Bug gefunden". Das ist nicht Alex Schapiros interessanteste Titelgeschichte (damit meine ich: Sie haben schon wirklich interessante Sachen veröffentlicht).
- jjice
Ich arbeite für ein Unternehmen, das Software für den Immobilienbereich entwickelt, und habe an Verbindungen zu allen großen Property-Management-Systemen und großen (und kleinen) Proptech-Unternehmen gearbeitet. Ich kann Ihnen sagen, dass mindestens 90 % von ihnen eine der schlechtesten Sicherheitspraktiken haben, die Sie je gesehen haben. Viele der größten Property-Management-Systeme erlauben es einem Drittanbieter, Ihre Sozialversicherungsnummer und Ihr Geburtsdatum zu exportieren, und die meisten Property-Manager, die ich gesehen habe, zucken nicht mit der Wimper, wenn sie so viele Informationen herausgeben, wie ihr Anbieter verlangt (die sie normalerweise nicht brauchen).
Immobilien sind eine sehr geschlossene Gruppe traditionellerer Unternehmen und haben noch nicht begonnen, ihre Verantwortung zu verstehen, diese Daten sicher zu halten.
Bearbeitet für mehr Details: Um dem noch etwas hinzuzufügen, es ist genau der Fall, den wir alle kennen, dass das Management sich nicht darum kümmert, dass etwas richtig gebaut wird, sie wollen nur, dass es gebaut wird. Dazu kommt, dass das Management normalerweise keinen technischen Hintergrund hat. Außerdem gibt es nur sehr wenige Ingenieure, die leidenschaftlich guten Code schreiben wollen und bei diesen Unternehmen bleiben wollen. Es ist eine echte Albtraum-Branche.
Es gibt einige Unternehmen, die einem Hoffnung geben, aber das sind die gelegentlichen großen Property-Manager, die zu Tode erschreckt wurden wegen einer Sicherheitsklage (von mir aus) oder ein Proptech, das die Branche "disruptet" und in 18 Monaten von einem der Großen übernommen und langsam zerfressen wird.
- walrus01
Meine wichtigste Erkenntnis daraus ist nicht wirklich etwas über die spezifische Sicherheitslücke, sondern eher, dass Leute in der Immobilienbranche jedes SaaS-Produkt kaufen, ohne Recherche oder Due Diligence.
Ich habe persönlich erlebt, wie Immobilienleute ein trendiges neues App-basiertes Gegensprech- oder Türsystem gekauft und es vor ihr Gebäude geklebt haben und versucht haben, von allen Bewohnern zu verlangen, es zu nutzen...
- toomuchtodo
Beam Living
- josefritzishere
Was für ein Scheißhaufen von einem Unternehmen. Wo sind die rechtlichen Strafen für solch rücksichtsloses Verhalten?