Un lapso de seguridad vio a Proskauer Rose, una firma de abogados internacional con sede en la ciudad de Nueva York, exponer datos confidenciales de clientes durante más de seis meses, según pudo saber TechCrunch.
Una persona con conocimiento del incidente le dijo a TechCrunch que los datos del negocio de fusiones y adquisiciones de Proskauer se dejaron en un servidor en la nube de Microsoft Azure no seguro.
TechCrunch obtuvo una parte del conjunto de datos expuesto, que incluía aproximadamente 184,000 archivos en total, nos dijo la persona. Estos archivos eran accesibles desde el navegador web por cualquier persona que supiera dónde buscar, y contenían documentos financieros y legales privados y privilegiados, contratos, acuerdos de confidencialidad, acuerdos financieros y archivos relacionados con adquisiciones de alto perfil.
Los detalles del servidor en la nube expuesto fueron capturados por GrayHatWarfare, una base de datos de búsqueda que indexa el almacenamiento y los archivos en la nube visibles públicamente. Se entiende que los expedientes se han dejado públicos durante al menos seis meses.
Proskauer resolvió el derrame hace unas dos semanas, pero aún no ha notificado a sus clientes, cuyo sitio web incluye a Major League Baseball y Morgan Stanley como clientes.
Cuando se le contactó para hacer comentarios, Proskauer se negó a responder preguntas relacionadas con la cantidad y la naturaleza de los datos expuestos, pero no cuestionó las afirmaciones. Tampoco está claro cómo se expusieron los datos, aunque no es raro que las configuraciones incorrectas del servidor sean causadas por un error humano. En un correo electrónico a TechCrunch, Proskauer, que incorrectamente se refirió a la exposición de datos como un «ataque cibernético» ya que no hay evidencia de malicia, no dijo si el bufete de abogados tiene alguna evidencia de exfiltración de datos.
Proskauer dijo que se enteró recientemente de que “un proveedor externo que contratamos para crear un portal de información en una plataforma de almacenamiento en la nube de un tercero no lo había protegido adecuadamente”, según un comunicado proporcionado por la portavoz Joanne Southern.
Proskauer se negó a nombrar al vendedor.
“Nuestro equipo de seguridad de TI inmediatamente tomó medidas para reconfigurar el sitio y asegurar sus datos”, dijo Southern. “Esta es una investigación en curso y hemos estado trabajando urgentemente con expertos en seguridad cibernética internos y de terceros para confirmar nuestra comprensión actual de los hechos. Nos tomamos muy en serio la protección de nuestros datos y tomamos medidas agresivas para monitorear y proteger contra cualquier acceso o uso no autorizado de esos datos”.
Southern dijo que el bufete de abogados “se comunicará de inmediato con todas las partes afectadas tan pronto como obtengamos suficiente información para hacerlo de manera responsable”.