解説：RBIのbank.inレジストリの脆弱性が13ヶ月にわたり機密データを漏洩させた仕組み

独立研究者のSrikanth L氏は、RBIの「.bank.in」ドメイン登録ポータルで33以上の認証されていないエンドポイントを発見し、5,576人の銀行従業員の機密データが少なくとも13ヶ月間漏洩していました。漏洩したデータには、パスワードハッシュ、携帯電話番号、メールアドレス、デバイスフィンガープリントが含まれます。さらに、1,072の孤児スーパー管理者アカウントが見つかり、民間ベンダーがグローバル管理者アクセス権を持っていました。CERT-Inは17日以内に問題を修正しました。ポータルは公開入札やセキュリティレビューなしで作成されました。