Przez lata chmura indyjskiego rządu udostępniała w Internecie dane osobowe swoich obywateli

W ramach otwierającego oczy rozwoju cyberbezpieczeństwa Indii ujawniono poważne naruszenie, które budzi obawy co do ochrony danych osobowych obywateli. Sourajeet Majumder, ekspert ds. bezpieczeństwa, odkrył, że duże ilości danych osobowych, w tym **numery Aadhaar**, informacje dotyczące **szczepionek na CoVID-19** i dane **paszportu** były swobodnie dostępne w Internecie. Wyciek przypisuje się nieprawidłowej konfiguracji usługi chmurowej indyjskiego rządu o nazwie S3WaaS, reklamowanej jako bezpieczne rozwiązanie do wdrażania rządowych witryn internetowych.

Tę niepokojącą sytuację po raz pierwszy ujawniono w 2022 r., kiedy Majumder zauważył, że w otwartym internecie dostępne są wrażliwe dane. Jeszcze bardziej niepokojące jest to, że wyszukiwarki zindeksowały te dokumenty, co znacznie ułatwiło wyszukiwanie prywatnych danych każdemu, kto znał wyszukiwane hasła. Zaalarmowany tym odkryciem Majumder zwrócił się do Internet Freedom Foundation, która pomogła mu zgłosić tę usterkę CERT-In (indyjskiemu zespołowi reagowania na awarie komputerowe), a także Narodowemu Centrum Bezpieczeństwa „Indyjskiemu Rządowi IT”.

CERT-In szybko zaobserwował problem i linki do wrażliwych plików zostały usunięte z publicznych wyszukiwarek. Niestety, zdaniem Majumdera, działanie to nie rozwiązało całkowicie problemu naruszenia, ponieważ dane osobowe były ujawniane w Internecie aż do niedawna.

Dokładna skala tego naruszenia danych pozostaje trudna do oszacowania, ale Majumder ostrzega przed potencjalnymi zagrożeniami, szczególnie związanymi z kradzieżą tożsamości i oszustwami. Podkreśla również szczególne ryzyko związane z wyciekiem prywatnych informacji medycznych, takich jak wyniki testów na obecność wirusa Covid-19 i dane dotyczące szczepień. Doniesienia te mogą nie tylko naruszyć prywatność poszczególnych osób, ale także prowadzić do dyskryminacji i odrzucenia społecznego.

W obliczu tej sytuacji Majumder wzywa do burzliwej refleksji nad polityką bezpieczeństwa IT. Niezbędne jest, aby incydent ten stał się bodźcem do wdrożenia rygorystycznych reform w zakresie bezpieczeństwa danych w celu skutecznej ochrony prywatności obywateli.

Podsumowując, w miarę ewolucji zagrożeń cybernetycznych incydent uwydatnia potrzebę ciągłej czujności i ponownej oceny istniejących środków bezpieczeństwa w celu ochrony danych osobowych osób fizycznych przed nieuprawnionym dostępem.