Παραβιάστηκε το Γραφείο Διπλωμάτων Ευρεσιτεχνίας των ΗΠΑ, Πρόσβαση σε εφαρμογές εμπορικών σημάτων

Το Γραφείο Διπλωμάτων Ευρεσιτεχνίας και Εμπορικών Σημάτων των ΗΠΑ (USPTO) ενημέρωσε περισσότερους από 60,000 αρχειοθέτες αιτήσεων εμπορικών σημάτων ότι κατά λάθος άφησε τις φυσικές τους διευθύνσεις εκτεθειμένες στο δημόσιο Διαδίκτυο για τρία χρόνια.

A διαρροή API ήταν ο ένοχος, σύμφωνα με εκθέσεις, και άφησε εκτεθειμένα σύνολα δεδομένων, συμπεριλαμβανομένων των διευθύνσεων που συλλέγονται από τους αιτούντες, οι οποίες είναι υποχρεωτικές όταν υποβάλλουν αίτηση για εμπορικό σήμα στο USPTO.

«Όταν ανακαλύψαμε το πρόβλημα, αποκλείσαμε την πρόσβαση σε όλα τα μη κρίσιμα API του USPTO και καταργήσαμε τα επηρεαζόμενα προϊόντα μαζικών δεδομένων μέχρι να εφαρμοστεί μια μόνιμη επιδιόρθωση», ανέφερε η ειδοποίηση που στάλθηκε στα επηρεαζόμενα αρχεία αρχείων και κοινοποιήθηκε στο TechCrunch.

Ένας εκπρόσωπος πρόσθεσε ότι η διαρροή επηρέασε περίπου το 3% των αιτήσεων που κατατέθηκαν κατά τη διάρκεια της τριετίας.

"Δυστυχώς, δεν καταφέραμε να εντοπίσουμε μερικά από τα πιο τεχνικά σημεία εξόδου και να καλύψουμε σωστά τα δεδομένα που εξήχθησαν από αυτά τα σημεία.» πρόσθεσε ένας εκπρόσωπος του USPTO. "Ζητούμε συγγνώμη για το λάθος μας και θα κάνουμε καλύτερα για να αποτρέψουμε ένα τέτοιο περιστατικό να μην συμβεί ξανά, διατηρώντας παράλληλα την ικανότητά μας να καταπολεμήσουμε την ιστορική ποσότητα απάτης κατά των αρχειοθέτησης που βλέπουμε να προέρχεται από το εξωτερικό."

Ο Jason Kent, χάκερ που κατοικεί στην Cequence Security, δήλωσε σε δήλωση που δόθηκε στο Dark Reading ότι αυτός ο τύπος Λανθασμένη διαμόρφωση API είναι ακριβώς αυτό που αναζητούν οι κυβερνοεπιθέσεις στο Διαδίκτυο.

«Τα πιο τεχνικά σημεία εξόδου είναι αυτά που τείνουν να προτιμούν οι επιτιθέμενοι», είπε ο Κεντ. «Στη γλώσσα ασφαλείας του API του 2023, είχαν API9:2023 Λανθασμένη διαχείριση αποθέματος που επέτρεπε σε έναν εισβολέα να βρει το τελικό σημείο, μάθετε ότι δεν ήταν επαληθευμένο API2:2023 Broken User Authentication που θα μπορούσε να επέτρεπε σε έναν αυτοματοποιημένο εισβολέα να τραβήξει όλα τα επηρεαζόμενα δεδομένα σε πολύ σύντομο χρονικό διάστημα, API6:2023 Απεριόριστη πρόσβαση σε ευαίσθητες επιχειρηματικές ροές."