NYCで住宅を見つけるのは難しいですが、アパートを見つけるよりも誰かの社会保障番号の最後の4桁を見つける方が簡単です。ブラックストーンのポートフォリオ企業であるBeam Livingへの賃貸申込を行っている研究者は、ネットワークトラフィックを監視している間に不審な活動に気づきました。

個人の詳細を送信する際、ユーザーはpd-dlcore.beamliving.com/graphqlに送信されたGraphQLクエリを検査しました。クエリ構造により、連絡先IDまたはメールアドレスを提供するだけで、収入証明、クレジットスコア、住所、生年月日、社会保障データを含む広範な連絡先情報を取得できました。

テストの結果、友人のメールアドレスを入力すると、その機密申請データが公開されることがわかりました。この脆弱性は、8 Spruce、Stuy Town、Peter Cooper Village、Kips Bay Court、およびParker Towersを含む複数のコミュニティに影響を与えました。共有ポータルに残っていた記録を持つすべての出願人のプライベート情報は、メールアドレスを知っている人なら誰でもアクセス可能でした。

研究者はこの欠陥をBeam Livingに開示しました。当初の否定にもかかわらず、さらなる圧力を受けて問題は静かに修正されました。この事案は、現代の賃貸ポータルにおける重大なセキュリティリスクと、不適切なAPI認証チェックを通じた広範なデータ露出の可能性を浮き彫りにしています。

主要エンティティ：会社：ブラックストーン、Beam Living | 場所：NYC、8 Spruce、Stuy Town、Peter Cooper Village、Kips Bay Court、Parker Towers

よくある質問：どのデータが公開されましたか？

社会保障番号（最後の4桁）、生年月日、自宅住所、IPアドレス、電話番号、その他の申請データ。

よくある質問 Q：どのデータが公開されましたか？

よくある質問 A：社会保障番号（最後の4桁）、生年月日、自宅住所、IPアドレス、電話番号、その他の申請データ。