Tech Data lost datalek op

IT-leverancier Tech Data is getroffen door een omvangrijk datalek. Gegevens van bedrijven, klanten en werknemers waren toegankelijk via een onbeveiligde database. In de database stonden naar verluid onder meer e-mailadressen, creditcardnummers en onversleutelde inloggegevens opgeslagen. Het datalek is daarna opgelost.

De database is ontdekt door vpnMentor, een partij die VPN's beoordeelt en klanten hierover adviseert. In totaal gaat het om 264GB aan data, waaronder e-mailadressen, creditcardnummers, onversleutelde inloggegevens en facturen. Ook interne security logs, private API-keys en informatie over zowel SAP-integraties als servers van klanten zijn uitgelekt, meldt vpnMentor in een blogpost. Het lek werd op 2 juni ontdekt en op dezelfde dag door vpnMentor aan Tech Data gemeld. Tech Data dichtte het lek twee dagen later.

"Aangezien Tech Data zo'n significante speler in de sector is, maakt de uitgelekte database het bedrijf kwetsbaar voor concurrenten die een oneerlijk voordeel willen behalen en hackers die de controle over systemen willen infecteren, en deze willen uitbuiten met onder meer ransomware", schrijft vpnMentor. 

Verklaring Tech Data

Tech Data meldt in een verklaring over het datalek:

"Tech Data heeft onlangs kennis genomen van een kwetsbaarheid in de beveiliging van een server die verbonden is met onze StreamOne-marktplaats. Binnen enkele uren nadat dit beveiligingslek aan het licht kwam, is deze gecorrigeerd en de server uitgeschakeld."

"Op basis van wat we op dit moment weten, is er geen bewijs dat de gegevens die zijn opgeslagen op de betreffende server zijn misbruikt voor ongeautoriseerde transacties of andere fraude. Wij blijven dit incident onderzoeken en zullen aan alle rapportage-eisen voldoen."

"We slaan geen creditcardnummers of bankgegevens op in de StreamOne-marktplaats. Belangrijk is ook dat er geen inloggegevens voor StreamOne of andere Tech Data klantaccounts stonden opgeslagen op de server. Terwijl ons onderzoek doorgaat, kunnen wij melden dat de server een combinatie van bedrijfsgegevens kan bevatten, waaronder informatie op een visitekaartje en bepaalde andere informatie zoals eenmalige inloggegevens die worden gebruikt om specifieke cloudservices te activeren, en de datum en tijd waarop deze activatie plaatsvond."