Trouver un logement à NYC est difficile. Mais il est plus facile de trouver les quatre derniers chiffres du numéro de sécurité sociale de quelqu'un que de trouver un appartement. Un chercheur postulant pour un bail chez Beam Living, une entreprise du portefeuille de Blackstone, a remarqué une activité suspecte tout en surveillant le trafic réseau.

Lors de la soumission des détails personnels, l'utilisateur a inspecté les requêtes GraphQL envoyées à pd-dlcore.beamliving.com/graphql. La structure de la requête permettait de récupérer des informations de contact étendues, y compris la vérification des revenus, les scores de crédit, les adresses, les dates de naissance et les données de sécurité sociale, en fournissant simplement un identifiant de contact ou un e-mail.

Les tests ont révélé que l'entrée de l'e-mail d'un ami exposait leurs données de candidature sensibles. Cette vulnérabilité a affecté plusieurs communautés, dont 8 Spruce, Stuy Town, Peter Cooper Village, Kips Bay Court et Parker Towers. Tout candidat dont le dossier restait dans le portail partagé avait ses informations privées accessibles à quiconque connaissait son adresse e-mail.

Le chercheur a divulgué la faille à Beam Living. Malgré un déni initial, le problème a été corrigé silencieusement après une pression supplémentaire. L'incident met en lumière des risques de sécurité importants dans les portails de location modernes et le potentiel d'exposition massive des données via des contrôles d'autorisation d'API inappropriés.

Entités clés : Entreprises : Blackstone, Beam Living | Emplacements : NYC, 8 Spruce, Stuy Town, Peter Cooper Village, Kips Bay Court, Parker Towers

FAQ : Quelles données ont été exposées ?

Les numéros de sécurité sociale (quatre derniers chiffres), les dates de naissance, les adresses domiciliaires, les adresses IP, les numéros de téléphone et autres données de candidature.

FAQ Q : Quelles données ont été exposées ?

FAQ R : Les numéros de sécurité sociale (quatre derniers chiffres), les dates de naissance, les adresses domiciliaires, les adresses IP, les numéros de téléphone et autres données de candidature.