Найти жилье в Нью-Йорке сложно. Но найти последние четыре цифры номера социального страхования кого-то легче, чем квартиру. Исследователь, подающий заявку на аренду в Beam Living, компании из портфеля Blackstone, заметил подозрительную активность при мониторинге сетевого трафика.

При отправке личных данных пользователь проверил запросы GraphQL, отправленные на pd-dlcore.beamliving.com/graphql. Структура запроса позволяла получать обширную контактную информацию, включая подтверждение дохода, кредитные рейтинги, адреса, даты рождения и данные социального страхования, просто предоставив идентификатор контакта или адрес электронной почты.

Тестирование показало, что ввод электронной почты друга раскрывал его конфиденциальные данные заявки. Эта уязвимость затронула несколько сообществ, включая 8 Spruce, Stuy Town, Peter Cooper Village, Kips Bay Court и Parker Towers. Любой заявитель, чья запись оставалась в общем портале, имел свою личную информацию, доступную любому, кто знал его адрес электронной почты.

Исследователь сообщил об ошибке в Beam Living. Несмотря на первоначальное отрицание, проблема была тихо исправлена после дальнейшего давления. Инцидент подчеркивает значительные риски безопасности в современных порталах аренды и потенциал широкого раскрытия данных через неправильные проверки авторизации API.

Ключевые сущности: Компании: Blackstone, Beam Living | Места: NYC, 8 Spruce, Stuy Town, Peter Cooper Village, Kips Bay Court, Parker Towers

Часто задаваемые вопросы: Какие данные были раскрыты?

Номера социального страхования (последние четыре цифры), даты рождения, домашние адреса, IP-адреса, номера телефонов и другие данные заявки.

Вопрос ЧЗВ: Какие данные были раскрыты?

Ответ ЧЗВ: Номера социального страхования (последние четыре цифры), даты рождения, домашние адреса, IP-адреса, номера телефонов и другие данные заявки.