US-Patentamt gehackt, Marken-Apps abgerufen

Das US-Patent- und Markenamt (USPTO) informierte mehr als 60,000 Markenanmelder darüber, dass es ihre physischen Adressen fälschlicherweise drei Jahre lang dem öffentlichen Internet ausgesetzt hatte.

A undichte API war der Täter, laut Berichte, und ließ Datensätze offen, einschließlich der von Antragstellern gesammelten Adressen, die obligatorisch sind, wenn sie eine Marke beim USPTO anmelden.

„Als wir das Problem entdeckten, blockierten wir den Zugriff auf alle nicht kritischen APIs des USPTO und entfernten die betroffenen Massendatenprodukte, bis eine dauerhafte Lösung implementiert werden konnte“, heißt es in der Mitteilung, die an die betroffenen Antragsteller gesendet und an TechCrunch weitergegeben wurde.

Ein Sprecher fügte hinzu, dass das Leck etwa 3 % der im Dreijahreszeitraum eingereichten Anträge betraf.

"Leider ist es uns nicht gelungen, einige der technischeren Ausstiegspunkte zu lokalisieren und die von diesen Punkten exportierten Daten nicht ordnungsgemäß zu maskieren.“ fügte ein USPTO-Sprecher hinzu. „Wir entschuldigen uns für unseren Fehler und werden alles tun, um zu verhindern, dass sich ein solcher Vorfall wiederholt, und gleichzeitig unsere Fähigkeit bewahren, gegen das historische Ausmaß an Anmeldebetrug vorzugehen, das seinen Ursprung im Ausland hat.“

Jason Kent, Hacker bei Cequence Security, sagte in einer Erklärung gegenüber Dark Reading, dass dies der Fall sei API-Fehlkonfiguration ist genau das, wonach Cyberangreifer im Internet suchen.

„Die eher technischen Ausstiegspunkte sind diejenigen, die die Angreifer tendenziell bevorzugen“, sagte Kent. „Im API-Sicherheitsjargon von 2023 hieß es: API9:2023 Unsachgemäße Bestandsverwaltung, die es einem Angreifer ermöglichte, den Endpunkt zu finden und zu erfahren, dass er nicht authentifiziert war. API2:2023 Defekte Benutzerauthentifizierung, die es einem automatisierten Angreifer hätte ermöglichen können, alle betroffenen Endpunkte abzurufen Daten in sehr kurzer Zeit, API6:2023 Uneingeschränkter Zugriff auf sensible Geschäftsabläufe.“