Il 12 maggio Toyota ha chiesto scusa ai clienti giapponesi per una fuga di dati durata quasi dieci anni. Un ambiente cloud gestito dalla controllata Toyota Connected era configurato in modo errato e permetteva di leggere i dati senza alcuna autenticazione. L’esposizione è iniziata il 6 novembre 2013 e si è chiusa solo il 17 aprile 2023.
Sono coinvolti circa 2,15 milioni di clienti: in pratica tutti quelli che in Giappone si sono iscritti ai servizi connessi dell’auto, come T-Connect, G-Link e G-BOOK, tra il 2012 e aprile 2023, clienti Lexus compresi. Erano esposti:
- la posizione dei veicoli, con data e ora;
- il numero di telaio e l’identificativo del terminale di bordo;
- i video registrati all’esterno dell’auto dalle telecamere di bordo.
Secondo Toyota non ci sono nomi né indirizzi di casa, e non risultano usi illeciti. Se qualcuno abbia scaricato i dati in quei dieci anni, però, è difficile da stabilire. E il numero di telaio si legge attraverso il parabrezza: chi conosce l’auto di una persona può ricostruirne gli spostamenti.
Nessun attacco, solo una porta aperta
L’azienda spiega che mancavano regole e controlli adeguati sulla configurazione del cloud e che il personale non ne era abbastanza consapevole. Nessuna tecnica sofisticata: una risorsa lasciata aperta e mai verificata per anni. È lo stesso errore che negli ultimi anni ha esposto in tutto il mondo bucket di storage e database senza password.
Il primo passo per non ripeterlo è sapere cosa hai. Fai l’inventario delle risorse cloud, compresi snapshot e ambienti di prova dimenticati, perché non puoi proteggere ciò che non sai di avere. Imposta l’accesso privato come predefinito e richiedi un’approvazione esplicita per ogni risorsa pubblica. Gli strumenti di controllo della configurazione integrati nei principali provider segnalano da soli ciò che è raggiungibile da Internet: attivali e leggi i loro avvisi.
Poi chiediti per quanto tempo ti servono davvero dati come posizioni e video. Dieci anni di storico sono dieci anni di esposizione possibile. Se gestisci dati che passano per fornitori o controllate, prevedi verifiche periodiche anche nei loro ambienti: in questo caso l’errore stava proprio lì.
