Филиал IKEA получил штраф $1,2 млн за отслеживание клиентов, сотрудников

Филиал IKEA получил штраф $1,2 млн за отслеживание клиентов, сотрудников

Филиал IKEA получил штраф $1,2 млн за отслеживание клиентов, сотрудников

Суд оштрафовал французский филиал одной из крупнейших сетей по продаже мебели IKEA на $1,2 млн за использование странной схемы слежки за клиентами, служащими и даже потенциальными сотрудниками. Сама компания, конечно, отвергает эти обвинения.

Как отметила сторона обвинения, руководство IKEA следило в общей сложности за 400 гражданами. К слову, бывший исполнительный директор Жан Луи Байо получил персональный штраф на сумму более 60 тысяч долларов, поскольку правоохранители уличили его в хранении персональных данных посторонних людей.

По этому делу походили ещё более десятка человек, среди которых были, например, четыре полицейских. Согласно обвинительному заключению, эти четверо передавали в руки руководства IKEA персональные данные граждан.

Всё это непотребство происходило в период с 2009 по 2021 год, а на каком-то этапе IKEA решила привлечь частную охранную организацию Eirspace. Последняя занималась поиском различного компромата на сотрудников и конкурентов, другими словами — копалась в грязном белье.

Например, в одном установленном случае сотрудники Eirspace пытались выяснить, как один из сотрудников IKEA мог позволить себе приобрести автомобиль BMW на текущую заработную плату.

Одного из служащих вообще обвинили в ограблении банка, хотя у того просто было такое же имя, как у настоящего преступника.

Подпишитесь на новости

В Tailscale SSH нашли способ добраться до root через редирект сокетов

Один взломанный компьютер может стать отправной точкой для захвата других серверов в сети Tailscale. Специалист Эрика Виндиш из Cyberdione Labs описала проблемы, которые в лабораторных условиях позволили превратить обычный разрешённый SSH-доступ в права root.

Но важное условие есть: атакующий уже должен контролировать допущенное устройство и иметь нужные разрешения на соединение.

Подробности и условия воспроизведения опубликованы в отчёте Tailworm. Проверки проводились на Tailscale 1.104.2 и Headscale 0.29.5.

Главная претензия касается перенаправления Unix-сокетов. Некоторые операции выполняет привилегированный процесс tailscaled, из-за чего обычная SSH-сессия получает возможность обращаться к ресурсам, доступным только root. В тестах исследовательница использовала это для взаимодействия с Docker и выполнения команд с повышенными правами.

При широких правилах доступа атаку удалось автоматизировать: переход между разрешёнными узлами занимал меньше секунды. При этом точечные ограничения останавливали распространение.

Также описаны проблемы отказа в обслуживании и обхода ограничений в отдельных компонентах.

Автор рекомендует пересмотреть SSH-политики и отключить ненужное перенаправление. Для Headscale 0.29.5 она отдельно отмечает отсутствие независимого запрета этой функции.

RSS: Новости на портале Anti-Malware.ru