Sicherheitsforscher findet ungesichertes Spionage-Archiv des Pentagon auf Amazon-Servern

Der Forscher Chris Vickery vom Sicherheitsanbieter UpGuard hat erneut ungesicherte Daten gefunden, die auf Servern von Amazon S3 gehostet werden. Eigentümer der Daten ist offenbar das US-Verteidigungsministerium, das die fraglichen Daten jedoch nicht selbst auf den Amazon-Servern gespeichert hat. Dafür ist offenbar ein Zulieferer des Pentagon verantwortlich, wie Ars Technica berichtet.

Insgesamt soll es sich um drei cloudbasierte Storage Server handeln, deren Daten ungesichert und damit für jedermann öffentlich zugänglich waren. „Die Datenbanken scheinen Milliarden von öffentlichen Internet-Beiträgen und Nachrichtenkommentaren zu enthalten“, heißt es im Blog von UpGuard. Gesammelt wurden sie von zwei Abteilungen des Pentagon, Centcom und Pacom, die unter anderem für militärische Operationen im Mittleren Osten, Asien und Südpazifik verantwortlich sind.

Eine der Datenbanken beinhaltet alleine 1,8 Milliarden Einträge aus Internetforen, Social Media Sites und den Kommentarbereichen von Online-Zeitungen. Sie wurden in den vergangenen acht Jahren von Nutzern aus mehreren Ländern in verschiedenen Sprachen verfasst.

UpGuard zufolge werfen die vom Department of Defense gesammelten Daten auch Fragen nach möglichen Verstößen gegen den Datenschutz und Bürgerrechte auf. Ein Teil der Daten verweise zwar tatsächlich auf bekannte sicherheitsrelevante Regionen wie Irak und Pakistan, der größte Teil der Daten seien jedoch harmlose Beiträge von US-Bürgern. „Außerdem bleibt unklar, warum und für welchen Zweck die Daten angehäuft wurden, was es sehr wahrscheinlich macht, dass die meisten Beiträge von gesetzestreuen Bürgern weltweit stammen.“

Entdeckt wurden die Daten bereits am 6. September. Sie waren für jeden registrierten AWS-Nutzer einsehbar – das dafür benötigte Konto sei kostenlos erhältlich, so UpGuard weiter. Die verwendeten Subdomains „centcom-archive“ und „pacom-archive“ verwiesen zudem jeden auf den brisanten Inhalt der Datenbanken.

Wer für den Datenverlust verantwortlich ist, ist nicht bekannt. Einstellungen einer Datenbank erwähnen einen Lieferanten namens Vendor X LLC. Eine Internetsuche lieferte UpGuard brachte zudem Hinweise auf ein Outpost genanntes Projekt des US Central Command (Centcom). Es wird als eine „mehrsprachige Plattform“ beschrieben, deren Aufgabe es sein soll, die Meinungsbildung von Jugendlichen in instabilen Regionen zu beeinflussen.

UpGuard kritisierte zudem die Sicherheitseinstellungen für die Datenbanken. Nur eine einzige Berechtigung hätte demnach anders gesetzt werden müssen, um den Datenverlust zu verhindern. „Wenn kritische und sehr vertrauliche Informationen von der Regierung oder von Dritten, denen die Daten anvertraut wurden, nicht geschützt werden können, betreffen die Konsequenzen nicht nur die verantwortlichen Regierungsbehörden und Lieferanten, sondern jeden, dessen Informationen oder Internetbeiträge gesammelt wurden.“

Es ist nicht der erste Fund des Sicherheitsexperten Chris Vickery. Im Oktober wurde bekannt, dass Daten von Accenture ungeschützt auf Amazon-Servern lagen. Zuvor hatte UpGuard bereits ähnliche Fehler und Datenverluste von Verizon, einem Lieferanten der Republikanischen Partei der USA und einer Tochter des Medienunternehmens Thomson Reuters öffentlich gemacht.

WEBINAR

HPE Server der Generation 10 - Die sichersten Industrie-Standard-Server der Welt

Die neuen HPE-Server der Generation 10 bieten einen erweiterten Schutz vor Cyberangriffen. Erfahren Sie in unserem Webinar, warum HPE-Server die sichersten Industrie-Standard-Server der Welt sind und wie Sie ihr Unternehmen zu mehr Agilität verhelfen. Jetzt registrieren und Aufzeichnung ansehen.

Stefan Beiersmann

Stefan unterstützt seit 2006 als Freier Mitarbeiter die ZDNet-Redaktion. Wenn andere noch schlafen, sichtet er bereits die Nachrichtenlage, sodass die ersten News des Tages meistens von ihm stammen.

Recent Posts

Konsolidierte und strukturierte Daten für medizinische Versorgung

Telekom und vitagroup stellen Kliniken offene Plattform zur Verfügung, die Gesundheitsdaten unabhängig von einzelnen Herstellern…

14 Stunden ago

Zahl der Webauftritte sinkt wieder

Auch 2023 war kein gutes Jahr für die Hoster von KMU-Webseiten. Erneut schlossen viele Mittelständler…

14 Stunden ago

Pwn2Own: Google verteilt Sicherheitsupdate für Chrome

Es schließt zwei schwerwiegende Lücken, die eine Remotecodeausführung erlauben. Darüber hinaus stopft Google ein kritisches…

2 Tagen ago

IT-Verzicht fürs Klima – wie viele sind dazu bereit?

Der Digitalverband Bitkom hat 1.000 Deutsche danach befragt, auf welche Angebote sie aus Gründen des…

2 Tagen ago

BSI warnt Microsoft-Exchange-Nutzer

Laut Bundesamt sind mindestens 17.000 Instanzen in Deutschland durch eine oder mehrere kritische Schwachstellen verwundbar.

2 Tagen ago

Apple kündigt Entwicklerkonferenz WWDC 2024 für 10. Juni an

Die Veranstaltung startet wie in jedem Jahr mit einer Keynote. Apple verspricht Neuerungen für alle…

2 Tagen ago