Oracle thuhet se ka pësuar dy shkelje të veçanta që kanë ekspozuar të dhënat personale të mijëra klientëve

Oracle nuk po komenton raportet e fundit se ka përjetuar dy shkelje të veçanta të të dhënave që kanë ekspozuar informacione të ndjeshme personale që u përkasin mijëra klientëve të saj.

Raporti më i fundit i shkeljes së të dhënave, i publikuar të premten nga Bleeping Computer, tha se Oracle Health – një biznes softuerësh i kujdesit shëndetësor si shërbim që kompania bleu në vitin 2022 – kishte mësuar në shkurt se një aktor kërcënimi kishte akses në një nga serverët e tij dhe kishte hequr dorë nga të dhënat e pacientëve nga spitalet amerikane. Bleeping Computer tha që klientët e Oracle Health kanë marrë njoftime për shkelje të cilat janë printuar në letër të zakonshme dhe jo në letrën zyrtare të Oracle dhe janë nënshkruar nga Seema Verma, nënkryetarja ekzekutive dhe GM e Oracle Health.

Raporti tjetër i një shkeljeje të të dhënave ndodhi tetë ditë më parë, kur një person anonim duke përdorur dorezën rose87168 publikoi një mostër të asaj që ata thanë se ishin 6 milionë regjistrime të të dhënave të vërtetimit që i përkisnin klientëve të Oracle Cloud. Rose87168 i tha Bleeping Computer se ata i kishin marrë të dhënat pak më shumë se një muaj më parë pasi kishin shfrytëzuar një dobësi që i jepte akses një serveri Oracle Cloud.

Studiuesit në firmat e jashtme të sigurisë, të cilët kanë shqyrtuar të dhënat e ofruara nga rose87168, thanë se dukej se ishin të vërteta. Studiuesit e Cloudsek thanë se firma “e vlerëson këtë kërcënim me besim të mesëm dhe e vlerëson atë si të lartë në ashpërsi”. Në përgjithësi, thanë ata, më shumë se 140,000 qiramarrës – që do të thotë klientët që përdorin shërbimet e Oracle Cloud – u prekën.

Ndërkohë, Trustwave’s Spider Labs, tha se mostra e kredencialeve LDAP të ofruara nga rose87168 “zbulon një sasi të konsiderueshme të të dhënave të ndjeshme IAM të lidhura me një përdorues brenda një mjedisi shumë qiramarrësish të Oracle Cloud. Të dhënat përfshijnë informacione të identifikueshme personalisht (PII) dhe caktime të roleve administrative brenda sistemit potencial të aksesit të ndërmarrjes.”

Oracle fillimisht mohoi të kishte ndodhur ndonjë shkelje e tillë ndaj infrastrukturës së saj cloud, duke u thënë publikimeve: “Nuk ka pasur shkelje të Oracle Cloud. Kredencialet e publikuara nuk janë për Oracle Cloud. Asnjë klient i Oracle Cloud nuk ka përjetuar një shkelje ose ka humbur asnjë të dhënë.”

Të premten, kur pyeta Oracle për koment, një zëdhënës pyeti nëse ata mund të jepnin një deklaratë që nuk mund t’i atribuohej Oracle në asnjë mënyrë. Pasi refuzova, zëdhënësi tha që Oracle nuk do të kishte asnjë koment.

Për momentin, ka një përplasje midis Oracle nga njëra anë dhe studiuesve dhe gazetarëve nga ana tjetër, nëse dy shkelje serioze kanë ekspozuar informacione të ndjeshme që u përkasin klientëve të saj. Raportimi se Oracle po njofton klientët për komprometimin e të dhënave në letrat jozyrtare të dërguara nga avokatë të jashtëm është gjithashtu shqetësues. Ky postim do të përditësohet nëse informacioni i ri bëhet i disponueshëm.