ServiceNow siger, at en softwarefejl gjorde nogle kunders data tilgængelige for alle på internettet uden login. Fejlen blev rettet 5. juni. Virksomheden siger samtidig, at der ikke var tale om et hack, men aktivitet fra sikkerhedsforskere.
Cloudselskabet ServiceNow har ifølge TechCrunch underrettet nogle af sine enterprise-kunder om en fejl på platformen, som gav uautoriserede brugere større adgang til hostede data end tilsigtet. Ifølge en vidensbaseartikel, som er delt på Reddit, blev visse kundeinstanser patchet 5. juni.
Fejlen betød, at potentielt hvem som helst på internettet kunne tilgå data i berørte kundeinstanser uden legitimationsoplysninger som for eksempel en adgangskode. ServiceNow beskriver dermed problemet som en adgangsfejl i platformen, ikke som et almindeligt login-brud.
ServiceNow siger til TechCrunch, at hændelsen ikke var et hack. Selskabet oplyser i stedet, at den observerede aktivitet stammede fra sikkerhedsforskere, som ledte efter sårbarheder, der kunne indsendes til et bug bounty-program.
Virksomheden siger også, at den har været i kontakt med de forskere, som først rapporterede problemet. Ifølge ServiceNow bekræfter den kontakt, at beviserne for den observerede aktivitet kom fra disse sikkerhedsforskere og kunders egen research.
Historien er vigtig, fordi ServiceNow bruges af tusindvis af virksomheder til at automatisere interne processer. Når en fejl kan åbne for adgang uden login, bliver den praktiske konsekvens hurtigt alvorlig, også selv om selskabet fastholder, at der ikke var tale om et hack.
Min vurdering
Den centrale nyhed er enkel: nogle kundedata var tilgængelige uden autentificering, og ServiceNow har patchet de berørte instanser. Det mest væsentlige at holde øje med nu er derfor, om virksomheden giver kunderne mere præcis information om omfanget og de konkrete berørte data.
