nagwww/s3-leaksКурируемая хронология неверных конфигураций AWS S3 bucket, раскрытых данных и утёкших учётных данных IAM, со ссылками на инциденты для специалистов по облачной безопасности и исследователей.
Не стесняйтесь отправлять PR, если знаете о других утечках
| Дата | Описание | Примечания |
|---|---|---|
| April 2025 | Мысли об AWS Access Key ID из S3-бакета | Ключи от королевства AWS |
| March 2025 | 16 000 подписчиков газет Nine из Австралии | имя, почтовый адрес и/или адрес электронной почты |
| Jan 2025 | Телеканал Valley News Live из Северной Дакоты — более 1,8 млн файлов | Более миллиона раскрытых файлов — резюме и CV соискателей, содержащие имена, номера телефонов, домашние и электронные адреса, даты рождения, историю занятости и образование |
| Jan 2025 | WebWork — отслеживание времени и продуктивности удалённых сотрудников и биллинговые услуги | 13 млн журналов и скриншотов |
| Dec 2024 | операция, сканировавшая миллионы веб-сайтов и эксплуатировавшая уязвимости в неправильно сконфигурированных публичных сайтах | |
| Nov 2023 | MTC — государственное агентство, отвечающее за региональное транспортное планирование и финансирование в районе залива Сан-Франциско. | PDF-файлы с разрешениями на парковку для совместных поездок Bay Area Rapid Transit (BART), содержащие полные имена и домашние адреса пользователей |
| Oct 2023 | Национальный логистический портал Индии раскрыл чувствительные персональные данные и торговые записи | Раскрыты чувствительные персональные данные и различные государственные и частные торговые записи. |
| Sep 2023 | WBSC, штаб-квартира которой находится в Швейцарии, была основана в 2013 году | бакет, хранивший почти 48 000 файлов.копии 4 600 национальных паспортов. |
| Setp 2023 | Конфиденциальные данные PricewaterhouseCoopers (PwC) Nigeria были похищены | 24 668 раскрытых файлов включают: копии паспортов/удостоверений личности, резюме с номерами телефонов, домашними и электронными адресами и другой личной информацией, копии дипломов/университетских сертификатов |
| August 2023 | MPD FM — компания по управлению объектами и безопасности, предоставляющая услуги различным государственным ведомствам Великобритании | Паспорта/визы/национальные удостоверения личности/водительские права/свидетельства о рождении/отчёты о проверках/проверки права на работу/трудовые договоры/подтверждение адреса/банковские выписки |
| May 2023 | Лондонский гигант аутсорсинга Capita | был открыт для интернета с 2016 года и содержал около 3 000 файлов общим объёмом 655 ГБ |
| Jan 2023 | Авиакомпания Pegasus Airlines раскрыла 6,5 ТБ данных из-за ошибки в AWS S3-бакете | Авиакомпания раскрыла 6,5 ТБ |
| Aug 2022 | Ошибка конфигурации облака раскрыла 3 ТБ конфиденциальных данных аэропорта в Amazon S3-бакете: «На кону жизни» | Это уж точно немало данных в S3 |
| July 2022 | S3-бакеты McGraw Hill раскрыли оценки и личные данные 100 000 студентов | 22 ТБ данных и более 117 млн файлов |
| Aug2020 | Ошибка настройки S3-бакета раскрыла 182 ГБ данных пожилых граждан США и Канады | Неправильно сконфигурированный S3-бакет принадлежал SeniorAdvisor, сайту с рейтингами и отзывами потребителей. |
| July2020 | Twilio: кто-то проник в наш незащищённый AWS S3-бакет и добавил «не вредоносный» код в наш JavaScript SDK | Злоумышленники попытались обновить JavaScript-библиотеку, размещённую в S3-бакетах, чтобы её подхватили другие клиенты |
| Jan 2020 | «Раскрытые AWS-бакеты снова оказались причиной множества утечек данных» | Скан-копии паспортов, налоговые документы, проверки биографии, заявления о приёме на работу, заявления о расходах, контракты, электронные письма и данные о зарплатах тысяч консультантов, работающих в Великобритании, были раскрыты. |
| June 2020 | «7,2 млн записей были раскрыты, но не из приложения BHIM» | |
| Oct 2018 | Неправильно сконфигурированная база данных раскрыла тысячи файлов пациентов MedCall Advisors | имена, адреса электронной почты и почтовые адреса, номера телефонов, даты рождения и номера социального страхования. Другие файлы содержали записи оценки состояния пациентов и разговоров с врачами, а также сведения о лекарствах, аллергиях и другие подробные данные о здоровье. |
| Jun 2019 | Сервер AWS S3 раскрыл данные компаний из списка Fortune 100: Ford, Netflix, TD Bank | Attunity, израильская ИТ-компания, предоставляющая услуги управления данными, хранилищами и репликации для крупнейших компаний мира, раскрыла часть данных своих клиентов, оставив три Amazon S3-бакета открытыми в интернете без пароля. |
| May 2019 | Как поставщик для половины списка Fortune 100 раскрыл терабайт резервных копий | |
| Mar 2018 | Медицинские записи и записи разговоров пациентов с врачами были раскрыты | информация о сотрудниках 181 бизнес-объекта, а также персональные данные (PII) почти 3 000 человек были публично раскрыты в незащищённом |
| Mar 2018 | Ювелирный сайт случайно раскрыл личные данные (и пароли в открытом виде!) 1,3 млн пользователей | адреса, почтовые индексы, адреса электронной почты и IP-адреса. Он также утверждает, что база данных содержала пароли в открытом виде |
| Feb 2018 | S3-бакет, открытый всему миру: Octoly | настоящие имена, адреса, номера телефонов, адреса электронной почты |
| Jan 22 | Конфиденциальные медицинские записи в AWS-бакете оказались публично доступны |
