Bei einem kürzlich bekannt gewordenen Datenleck beim indischen KI-Startup WotNot wurden mehr als 346.000 persönliche Dateien online zugänglich gemacht, wodurch die sensiblen Daten von Kunden gefährdet sind. Cybersicherheitsforscher von Cybernews entdeckten die offengelegten Daten im August im Rahmen einer „routinemäßigen Untersuchung mit OSINT-Methoden“. Ein falsch konfigurierter Google-Cloud-Storage-Bucket mit mehr als 346.000 Dateien war für jeden online und ohne Autorisierung zugänglich.
Zu den durchgesickerten Daten gehörten Reisepässe und nationale Ausweisdokumente, detaillierte medizinische Unterlagen einschließlich Diagnosen und Testergebnissen, Lebensläufe mit Angaben zu beruflichen Stationen und Kontaktinformationen sowie weitere Dateien wie Reisepläne und Bahntickets. Die Daten stammten aus der 3.000 Kunden umfassenden Kundenbasis von WotNot und stellen ein erhebliches Risiko für Identitätsdiebstahl, Betrug und Phishing-Angriffe dar.
Die Reaktion von WotNot
WotNot, das Chatbot-Entwicklungsdienste für die Gesundheits-, Finanz- und Bildungsbranche anbietet, führte das Datenleck auf einen Fehler bei den Richtlinien für Cloud-Speicher zurück. Der offengelegte Bucket wurde Berichten zufolge von Nutzern des kostenlosen Tarifs verwendet.
„Ursache des Datenlecks war, dass die Richtlinien des Cloud-Speicher-Buckets angepasst wurden, um einen bestimmten Anwendungsfall zu ermöglichen“, teilte WotNot Cybernews mit. „Allerdings bedauern wir, dass wir es versäumt haben, seine Zugänglichkeit gründlich zu überprüfen, wodurch die Daten unbeabsichtigt offengelegt wurden.“
Dritte und Schatten-IT
Das Unternehmen wies darauf hin, dass seine Unternehmenskunden private Instanzen mit strengeren Sicherheitsprotokollen betreiben. Außerdem behauptete es, Kunden zu empfehlen, sensible Dateien nach der Übertragung in ihre Systeme zu löschen – eine Praxis, deren Einhaltung nicht strikt durchgesetzt wird. Der Vorfall verdeutlicht die Risiken, die mit der Einbindung von Drittanbietern in das KI-Ökosystem einhergehen. Wenn Chatbots sensible Nutzerdaten sammeln, kann jedes schwache Glied in der Lieferkette zu katastrophalen Datenlecks führen.
Laut Cybernews führen KI-Dienste eine neue Schatten-IT-Ressource ein, die außerhalb der direkten Kontrolle einer Organisation liegt. „Im Fall von WotNot wurden sensible Informationen, die von Geschäftskunden stammten, offengelegt“, erklärten die Cybernews-Forscher. „Dies zeigt, wie eine einzige Sicherheitslücke bei einem einzelnen Anbieter Daten mehrerer Unternehmen und Tausender nachgelagerter Personen gefährden kann.“
Experten raten Nutzern, gründlich abzuwägen, bevor sie persönliche Informationen an KI-Chatbots weitergeben – insbesondere auf Plattformen, an denen möglicherweise mehrere Anbieter beteiligt sind. Unternehmen werden aufgefordert, die Sicherheitsrichtlinien ihrer Partner vor einer Zusammenarbeit umfassend zu prüfen.
Erfahren Sie, wie KI auf beiden Seiten der Cybersicherheit eingesetzt werden kann – von Hackern ebenso wie von Cybersicherheitsteams.