Vdor v patentni urad ZDA, dostop do aplikacij za blagovne znamke

Ameriški urad za patente in blagovne znamke (USPTO) je več kot 60,000 vložiteljev prijav za blagovne znamke obvestil, da je pomotoma pustil njihove fizične naslove izpostavljene javnemu internetu tri leta.

A puščajoči API je bil krivec, po Poročila, in pustil izpostavljene nabore podatkov, vključno z naslovi, zbranimi od prijaviteljev, ki so obvezni, ko vložijo vlogo za blagovno znamko pri USPTO.

»Ko smo odkrili težavo, smo blokirali dostop do vseh nekritičnih API-jev USPTO in odstranili prizadete produkte množičnih podatkov, dokler ni bilo mogoče izvesti trajnega popravka,« je pisalo obvestilo, poslano prizadetim prijaviteljem in deljeno s TechCrunch.

Tiskovni predstavnik je dodal, da je uhajanje vplivalo na približno 3 % vlog, vloženih v triletnem časovnem obdobju.

"Na žalost nam ni uspelo locirati nekaterih bolj tehničnih izhodnih točk in ustrezno prikriti podatkov, izvoženih s teh točk,« je dodal tiskovni predstavnik USPTO. “Opravičujemo se za našo napako in se bomo potrudili, da preprečimo, da bi se takšen incident ponovil, hkrati pa bomo ohranili našo sposobnost, da zatremo zgodovinsko količino goljufij pri vlaganju, ki jih vidimo iz tujine.«

Jason Kent, stalni heker pri Cequence Security, je v izjavi za Dark Reading dejal, da ta vrsta Napačna konfiguracija API-ja kibernetski napadalci iščejo po internetu.

"Bolj tehnične izhodne točke so tiste, ki jih imajo napadalci ponavadi raje," je dejal Kent. »V varnostnem jeziku API-ja 2023 so imeli API9:2023 Nepravilno upravljanje inventarja, ki je napadalcu omogočilo, da najde končno točko, ugotovi, da ni bila preverjena API2:2023 Prekinjena avtentikacija uporabnika, ki bi lahko avtomatiziranemu napadalcu omogočila, da povleče vse prizadete podatkov v zelo kratkem času, API6:2023 neomejen dostop do občutljivih poslovnih tokov.«