Menemukan perumahan di NYC itu sulit. Tetapi lebih mudah menemukan empat digit terakhir nomor jaminan sosial seseorang daripada menemukan apartemen. Seorang peneliti yang mengajukan sewa di Beam Living, perusahaan portofolio Blackstone, memperhatikan aktivitas mencurigakan saat memantau lalu lintas jaringan.

Saat mengirimkan detail pribadi, pengguna memeriksa kueri GraphQL yang dikirim ke pd-dlcore.beamliving.com/graphql. Struktur kueri memungkinkan pengambilan informasi kontak yang luas, termasuk verifikasi pendapatan, skor kredit, alamat, tanggal lahir, dan data jaminan sosial, hanya dengan memberikan ID kontak atau email.

Pengujian mengungkapkan bahwa memasukkan email teman mengekspos data aplikasi sensitif mereka. Kerentanan ini memengaruhi beberapa komunitas, termasuk 8 Spruce, Stuy Town, Peter Cooper Village, Kips Bay Court, dan Parker Towers. Setiap pelamar whose catatan tetap ada di portal bersama memiliki informasi pribadinya yang dapat diakses oleh siapa pun yang mengetahui alamat email mereka.

Peneliti mengungkapkan cacat tersebut kepada Beam Living. Meskipun penyangkalan awal, masalah tersebut diperbaiki secara diam-diam setelah tekanan lebih lanjut. Insiden ini menyoroti risiko keamanan yang signifikan di portal sewa modern dan potensi paparan data yang luas melalui pemeriksaan otorisasi API yang tidak tepat.

Entitas Kunci: Perusahaan: Blackstone, Beam Living | Lokasi: NYC, 8 Spruce, Stuy Town, Peter Cooper Village, Kips Bay Court, Parker Towers