Blackstone 소유 부동산 회사, GraphQL 결함으로 신청자 SSN·생년월일·주소 노출

A Blackstone real estate company exposed SSN digits, DOBs, addresses and more

뉴욕에서 주택을 구하는 것은 어렵다. 하지만 어떤 사람의 사회보장번호(SSN) 마지막 4자리를 아파트보다 쉽게 찾을 수 있다는 사실을 아는 사람은 많지 않다. 보안 연구자 알렉스 샤피로는 Blackstone 계열사인 Beam Living의 임대 신청 과정에서 GraphQL API의 인가 결함을 발견했다. 이메일 주소만 알면 신청자의 SSN 마지막 4자리, 생년월일, 주소, IP, 전화번호 등 민감 정보를 조회할 수 있었다. Beam Living은 여러 커뮤니티에서 공유 포털을 사용해 광범위한 데이터 노출이 발생했다. 연구자는 취약점을 신고했지만, Beam Living은 수차례 연락 끝에 7월 9일 조용히 패치했다. 공개 후에도 책임 있는 공개 절차를 따르지 않은 점을 지적했다.