Уязвимости на сайтах Intel: доступ к данным 270 тысяч сотрудников
Исследователь безопасности Итон Z обнаружил несколько уязвимостей на сайтах Intel, которые позволяли получить доступ к конфиденциальной информации о сотрудниках компании. Уязвимости были обнаружены осенью 2024 года и позволяли получить доступ к данным более чем о 270 тысячах сотрудников Intel. Все выявленные уязвимости были устранены Intel к февралю 2025 года.
В конце февраля были закрыты уязвимости на нескольких сайтах Intel, которые позволяли получить доступ к конфиденциальной информации о сотрудниках компании. Об этом стало известно благодаря исследователю безопасности Итону Z.
«Intel Outside»: обнаружение уязвимостей
Итон Z обнаружил уязвимости в системе безопасности Intel еще осенью 2024 года. Исследователь назвал эту серию уязвимостей «Intel Outside». В своем блоге он подробно описал, как ему удалось получить доступ к данным более чем о 270 тысячах сотрудников Intel.
Как была осуществлена атака
Первоначально Итон Z исследовал сайт Intel India Operations (IIO), предназначенный для заказа визитных карточек сотрудниками. В ходе анализа JavaScript-файлов формы входа он обнаружил возможность обхода аутентификации.
Это позволило исследователю получить доступ к списку сотрудников не только из Индии, но и со всего мира. Доступ к более детальной информации о каждом сотруднике был получен благодаря API-ключу, который был доступен любому анонимному пользователю.
В результате Итон Z смог скачать файл объемом почти 1 ГБ, содержащий данные обо всех сотрудниках Intel. В файле были указаны имена, должности, номера телефонов, адреса электронной почты и другие личные данные.
Другие уязвимости на сайтах Intel
Помимо сайта IIO, Итон Z обнаружил аналогичные уязвимости еще на трех сайтах Intel:
Внутренний сайт «Product Hierarchy»: содержал легко расшифровываемые учетные данные, которые позволяли получить доступ к списку сотрудников и управлять системой.
Внутренний сайт «Product Onboarding»: также страдал от легко расшифровываемых учетных данных.
Корпоративный вход на сайте SEIMS Supplier: позволял скачать данные обо всех сотрудниках Intel.
Сообщение об уязвимостях Intel
Итон Z сообщил Intel о найденных уязвимостях в октябре 2024 года. Однако, по его словам, ни одна из найденных им уязвимостей не была признана memenuhi требованиям программы вознаграждений за обнаружение ошибок. Кроме того, Итон Z получил только один автоматический ответ от Intel на протяжении всего процесса.
К февралю 2025 года все выявленные Итоном Z уязвимости были устранены Intel.
Уязвимости в системах безопасности крупных технологических компаний, таких как Intel, – явление нередкое. В данном случае, исследователь Итон Z выявил ряд серьёзных проблем на сайтах Intel, которые позволили получить доступ к конфиденциальной информации о сотрудниках компании. Это событие демонстрирует системную проблему недостаточной защиты данных в корпоративных системах и подчёркивает важность постоянного аудита безопасности.
Ключевой проблемой, выявленной Z, стала недостаточная защита аутентификационных данных. Злоумышленник смог получить доступ к API-ключу, который позволял скачивать данные о сотрудниках Intel. Это свидетельствует о слабой защите критически важных системных компонентов и необходимости внедрения многоуровневой аутентификации.
Более того, обнаружение уязвимостей на нескольких сайтах Intel указывает на системную проблему в области информационной безопасности компании. Вероятно, недостаточное внимание уделяется тестированию и обновлению программного обеспечения, что делает системы уязвимыми для атак. Это подчёркивает необходимость внедрения комплексной стратегии кибербезопасности, включающей регулярные аудиты, обучение сотрудников и использование современных методов защиты данных.
Отсутствие должного отклика со стороны Intel на сообщение об уязвимостях также вызывает беспокойство. Это может свидетельствовать о недостаточной готовности компании к реагированию на угрозы информационной безопасности.
В долгосрочной перспективе подобные инциденты могут привести к потере доверия клиентов и партнёров, а также к финансовым потерям. Для Intel важно принять меры для укрепления своей системы информационной безопасности и обеспечить надлежащий уровень защиты данных своих сотрудников.
