Amazon bevestigt een datalek waarbij persoonlijke gegevens van medewerkers zijn gelekt. Dit datalek is onderdeel van een grotere campagne die ontstaan is door een nieuwe exploit van de bekende MOVEit-kwetsbaarheid.
In een verklaring aan The Verge stelt Amazon dat bij het datalek e-mailadressen, telefoonnummers en kantoorlocaties van medewerkers zijn gelekt. Het datalek vond plaats via een toeleverancier van property managementsoftware, de systemen van het bedrijf zelf werden niet binnengedrongen.
In totaal zou het om meer dan 2,8 miljoen lines van Amazon-data gaan. Het is onbekend hoeveel medewerkers exact zijn getroffen.
Onderdeel grotere campagne
De aanval op Amazon maakt deel uit van een grotere aanval op bedrijven, constateerden de securityspecialisten van HudsonRock. Andere getroffen bedrijven zijn onder meer verzekeraar MetLife, HP, zakenbank HSBC en McDonald’s.
Het datalek is openbaar gemaakt door een hacker die zich Nam3L3ss noemt. De gestolen data zouden gegevens van medewerkers omvatten, maar mogelijk ook hele organisatorische schema’s bevatten. De gestolen data lijkt overigens van 2023 te dateren.
MOVEit slaat weer toe
Oorzaak van het datalek is een nieuwe exploit van de bekende file transfer-kwetsbaarheid MOVEit of CVE-2023–34362. De kwetsbaarheid zorgt ervoor dat hackers met een gemanipuleerde SQL-injectie een MOVEit Transfer-instance binnendringen. Hierdoor krijgen zij toegang tot de gebruikte databases, bijvoorbeeld MySQL, Microsoft SQL en Azure SQL. De hackers kunnen vervolgens de structuur en de zich in deze databases bevindende content inzien.
Lees ook: 1.800 netwerken in gevaar door nieuwe MOVEit-kwetsbaarheid