Violazione dell'ufficio brevetti statunitense e accesso alle app relative ai marchi

L'Ufficio Brevetti e Marchi degli Stati Uniti (USPTO) ha informato più di 60,000 depositari di domande di marchio di aver erroneamente lasciato i loro indirizzi fisici esposti su Internet per tre anni.

A API che perde era il colpevole, secondo rapportie hanno lasciato esposti set di dati, inclusi gli indirizzi raccolti dai richiedenti, che sono obbligatori quando depositano una domanda di marchio presso l'USPTO.

"Quando abbiamo scoperto il problema, abbiamo bloccato l'accesso a tutte le API USPTO non critiche e abbiamo rimosso i prodotti di dati di massa interessati fino a quando non è stata implementata una soluzione permanente", si legge nell'avviso inviato ai filer interessati e condiviso con TechCrunch.

Un portavoce ha aggiunto che la fuga di notizie ha interessato circa il 3% delle domande presentate durante il periodo di tre anni.

"Purtroppo non siamo riusciti a individuare alcuni dei punti di uscita più tecnici e a mascherare adeguatamente i dati esportati da tali punti”, ha aggiunto un portavoce dell'USPTO. “Ci scusiamo per il nostro errore e faremo meglio per evitare che un simile incidente si ripeta, preservando allo stesso tempo la nostra capacità di reprimere la quantità storica di frodi che stiamo vedendo originare all’estero”.

Jason Kent, hacker residente presso Cequence Security, ha affermato in una dichiarazione fornita a Dark Reading che questo tipo di Configurazione errata dell'API è esattamente ciò che gli aggressori informatici stanno cercando su Internet.

"I punti di uscita più tecnici sono quelli che gli attaccanti tendono a preferire", ha detto Kent. "Nel gergo della sicurezza API 2023, avevano API9:2023 Improper Inventory Management che consentiva a un utente malintenzionato di trovare l'endpoint e apprendere che non era autenticato API2:2023 Broken User Authentication che avrebbe potuto consentire a un utente malintenzionato automatizzato di estrarre tutti i dati interessati dati in un periodo di tempo molto breve, API6:2023 Accesso illimitato ai flussi aziendali sensibili.