Artikel top billede

(Foto: Marcus Spike)

FN-databrud har kompromitteret mere end 100.000 medarbejderes personfølsomme oplysninger

Navne, ID, køn, nationalitet, lønklasse. Flere tusind FN-medarbejdere har fået kompromitteret personlige og personhenførbare oplysninger, afslører en etisk hackergruppe.

Den etiske hacking- og sikkerhedsforskningsgruppe Sakura Samurai har afsløret en sikkerhedssårbarhed, da over 100.000 private medarbejderoptegnelser fra FN's miljøprogram (UNEP) har været let tilgængelige.

Gruppen kortlagde problemet ved selv at undersøge, om de kunne få adgang til optegnelserne udenom det lovlige system. Det skriver nichemediet BeepingComputer.

Ad den vej fandt de frem til udsatte git-mapper og legitimationsoplysninger, som gjorde det muligt for forskerne at kopiere git-arkiver og indsamle en stor mængde personligt identificerbar information forbundet med mere end 100.000 ansatte.

ID, navn, nationalitet, køn, lønklasse, rejseoplysninger…

Git-indholdet omfattede følsomme filer, såsom WordPress-konfigurationsfiler (wp-config.php), der eksponerer administratorens databaseoplysninger, og forskellige PHP-filer, indeholdt klartekst-databaser, der var associeret med andre online-systemer fra UNEP og FN's Internationale Arbejdsorganisation (ILO).

Derudover gjorde de offentligt tilgængelige git-legitimationsfiler forskerne i stand til at få fat i UNEPs kildekodebase.

Det eksponerede data, som gruppen konkret fik fat i, indeholdt rejsehistorik for FN-medarbejdere, medarbejder-id, navne, medarbejdergrupper, rejsebegrundelse, start- og slutdatoer, godkendelsesstatus, destination og opholdets længde.

Ligeledes eksponerede andre FN-databaser, som forskerne havde adgang til som en del af deres analyse, nationalitet, køn og lønklasse på tusinder af ansatte. Desuden fandt de frem til projektfinansieringskildedokumenter, generaliserede medarbejderregistre og beskæftigelsesevalueringsrapporter.

"Den rapporterede sårbarhed vedrører ikke FN's sekretariat”

Gruppen oplyser, at det tog dem under 24 timer at samle disse oplysninger. De rapporterede sårbarheden til FN 4. januar 2021.

Som svar på rapporteringen fik gruppen denne besked:

"Den rapporterede sårbarhed vedrører ikke FN's sekretariat og er for ILO (International Labour Organization)."

Efterfølgende takkede Saiful Ridwan, chef for virksomhedsløsninger for UNEP, forskerne for deres sårbarhedsrapport, og meddelte at deres DevOps-team havde taget øjeblikkelige skridt til at patche sårbarheden, og igangsat en konsekvensanalyse.




Brancheguiden
Brancheguide logo
Opdateres dagligt:
Den største og
mest komplette
oversigt
over danske
it-virksomheder
Hvad kan de? Hvor store er de? Hvor bor de?
EG Danmark A/S
Udvikling, salg, implementering og support af software og it-løsninger til ERP, CRM, BA, BI, e-handel og portaler. Infrastrukturløsninger og hardware. Fokus på brancheløsninger.

Nøgletal og mere info om virksomheden
Skal din virksomhed med i Guiden? Klik her

Kommende events
AI i det offentlige: Potentiale, erfaringer og krav

Hør erfaringerne med at anvende AI til at transformere og effektivisere processer i det offentlige – og med at sikre datakvalitet, governance og overholdelse af retningslinjer.

27. august 2025 | Læs mere


Computerworld Cloud & AI Festival 2025

Med den eksplosive udvikling indenfor cloud & AI er behovet for at følge med og vidensdeling større end nogensinde før. Glæd dig til to dage, hvor du kan netværke med over 2.400 it-professionelle, møde mere end 50 it-leverandører og høre indlæg fra +90 talere. Vi sætter fokus på emner som AI; infrastruktur, compliance, sikkerhed og løsninger for både private og offentlige organisationer.

17. september 2025 | Læs mere


IT og OT i harmoni: Sikring uden at gå på kompromis med effektiviteten

IT og OT smelter sammen – men med risiko for dyre fejl. Få metoder til sikker integration med ERP, kundesystemer og produktion. Tilmeld dig og få styr på forskellene og faldgruberne.

24. september 2025 | Læs mere