Yhdysvaltain patenttivirasto hakkeroitu, tavaramerkkisovelluksia on käytetty

Yhdysvaltain patentti- ja tavaramerkkivirasto (USPTO) ilmoitti yli 60,000 XNUMX tavaramerkkihakemuksen jättäjälle jättäneensä heidän fyysiset osoitteensa vahingossa julkiseen Internetiin kolmen vuoden ajan.

A vuotava API oli hänen mukaansa syyllinen raportit, ja jättivät näkyviin tietojoukot, mukaan lukien hakijoilta kerätyt osoitteet, jotka ovat pakollisia, kun he hakevat tavaramerkkiä USPTO:lle.

"Kun havaitsimme ongelman, estimme pääsyn kaikkiin USPTO:n ei-kriittisiin API-liittymiin ja poistimme vaikuttaneet joukkotietotuotteet, kunnes pysyvä korjaus voitiin ottaa käyttöön", sanotaan ongelmaan vaikuttaneille tiedostoille ja jaettu TechCrunchille.

Tiedottaja lisäsi, että vuoto vaikutti noin kolmeen prosenttiin kolmen vuoden aikana jätetyistä hakemuksista.

"Emme valitettavasti onnistuneet paikantamaan joitain teknisempiä poistumispisteitä emmekä peittämään kunnolla niistä vietyjä tietoja." USPTO:n tiedottaja lisäsi. "Pyydämme anteeksi virhettämme ja teemme paremmin estääksemme tällaisen tapauksen toistumisen, samalla kun säilytämme kykymme torjua historiallisen määrän petoksia, joita näemme tapahtuvan ulkomailta."

Cequence Securityn hakkeri Jason Kent sanoi Dark Readingille toimitetussa lausunnossa, että tämäntyyppinen API-määritykset väärin juuri sitä kyberhyökkääjät etsivät Internetissä.

"Hyökkääjät pitävät parempana teknisempiä lähtöpisteitä", Kent sanoi. "Vuoden 2023 API-tietoturvakielellä heillä oli API9:2023 Sopimaton varastonhallinta, jonka avulla hyökkääjä pystyi löytämään päätepisteen ja oppimaan, että se ei ollut todennettu API2:2023 Broken User Authentication, joka olisi voinut antaa automaattisen hyökkääjälle mahdollisuuden vetää kaikki ongelmaan vaikuttavat kohteet. tiedot hyvin lyhyessä ajassa, API6:2023 Rajoittamaton pääsy arkaluonteisiin liiketoimintavirtoihin."