Adobe CC a Adobe Creative Cloud je předplacená služba, která zákazníkům umožňuje přistupovat k celé sadě softwaru pro stolní i mobilní zařízení, včetně programů jako Photoshop, Illustrator, Premiere Pro, InDesign, Lightroom a mnoho dalších.

Jak byla zranitelnost objevena?

Tým odborníků z Comparitech se zabývá kyberbezpečností, což mimo jiné zahrnuje i testování a skenování webů. Jejich cílem je zmírnit potenciální poškození koncových uživatelů v důsledku kybernetických útoků či zranitelností.

Otevřený server Elasticsearch byl objeven díky aktivnímu skenování webu při pátrání po nezabezpečených databázích. Jakmile je databáze, která připouští neoprávněný přístup třetích osob, identifikována, Comparitech o tom okamžitě informuje jejího vlastníka.

Zmíněná cache nebyla nijak chráněná a umožňovala přístup k uživatelským informacím – pokud člověk věděl, jak je najít. Kdokoliv s webovým prohlížečem tak mohl získat podrobnosti o nic netušících uživatelích.

Ačkoliv se nejednalo o vysoce citlivá data, mohla by případným zájemcům dobře posloužit k vytvoření lepších a přesvědčivých phishingových kampaní cílených na zákazníky, jejichž data byla exponována.

Není zřejmé, jak dlouho byla databáze obsahující údaje ze 7,5 milionu účtů veřejná, ale Bob Diachenko, data hunter spolupracující s Comparitech, který na chybu upozornil, odhaduje, že k informacím bylo možné přistupovat asi týden. Společnost Adobe zareagovala rychle. Diachenko jí nahlásil svá zjištění 19. října 2019 a Adobe zabezpečil databázi Elasticsearch ještě ten samý den.

Podle odborníků z Comparitech nefigurovaly v úniku dat citlivé informace jako hesla nebo platební údaje. Není ani jisté, zda k těmto datům někdo další pronikl. Ze screenshotu pořízeného bezpečnostními experty vyplývá, že velikost cache dosahovala téměř 86 GB.

Screenshot ukazuje podrobnosti o tom, ke kterým datům se veřejnost mohla dostat bez jakékoliv autentizace či hesla. Byly zveřejněné jak e-mailové adresy, data vytvoření účtu, informace o Adobe produktech používaných zákazníkem, tak i stav platby. Další podrobnosti uložené v databázi, které by při vhodném využití mohly zvýšit úspěšnost scamů, zahrnovaly například stav předplatného, status platby, informaci, zda je uživatel zaměstnancem Adobe, ID členů, zemi a čas posledního přihlášení.

Dne 25. října 2019 vydala společnost Adobe prohlášení, že problém zapříčinilo „prototypové prostředí“, které bylo nesprávně nakonfigurováno. Společnost upřesnila, že uložené prostředí zákazníků Creative Cloud neobsahovalo žádná hesla, ani finanční údaje. Adobe uklidnil uživatele, že tento problém neovlivnil fungování jakýchkoliv produktů nebo služeb společnosti. Dále Adobe započal s revizí vývojových procesů, aby se zabránilo podobným problémům v budoucnosti.

Co by měli uživatelé dělat?

Přestože při letošním úniku neexponovala databáze číslo karty nebo jiné finanční informace, a uživatelé tak nejsou vystaveni přímému finančnímu nebo bezpečnostnímu riziku, není na škodu být ostražitý a pečlivě sledovat výpisy z banky – jakmile by nastala jakákoliv neobvyklá transakce či akce, je třeba ji ihned nahlásit.

Adobe nabízí dvoufaktorové ověření, které by uživatelé měli aktivovat, aby tak pomohli zabezpečit své účty.

V říjnu 2013 zaznamenala společnost Adobe vážný incident, který ovlivnil nejméně 38 milionů uživatelů. Došlo k publikování tří milionů šifrovaných kreditních karet a přihlašovacích údajů neznámého počtu uživatelů.