Kancelaria prawna Tycko & Zavareei wniosła pozew sądowy , związany z danych osobowych ponad 100 milionów klientów holdingów bankowych Capital One, w tym informacji dotyczących około 140 tysięcy numerów ubezpieczenia społecznego i 80 tysięcy numerów kont bankowych. Oprócz Capital One do pozwanych należy firma GitHub, której zarzuca się umożliwienie publikacji, wyświetlania i korzystania z informacji uzyskanych wskutek włamania.
Według powoda, GitHub jest zobowiązany przestrzegać obowiązującego w USA prawa, które zakazuje publikowania w przestrzeni publicznej numerów ubezpieczenia społecznego użytkowników. W szczególności, ponieważ numery ubezpieczenia społecznego mają stały format, firma powinna była przewidzieć wprowadzenie filtrów do wykrywania przypadków publikacji przez użytkowników wyników wycieków oraz ich blokowania, nie czekając na oficjalne powiadomienia.
Przedstawiciele GitHub oświadczyli, że twierdzenia powoda są nieprawdziwe i na GitHub nie były publikowane dane osobowe uzyskane w wyniku wycieku. W jednym z repozytoriów znajdowały się jedynie instrukcje dotyczące uzyskania dostępu do danych, które faktycznie pozostawały w bazie danych umieszczonej w chmurze Amazon S3. Z powodu niewłaściwej konfiguracji zapory sieciowej, ograniczającej dostęp do aplikacji webowych, istniała możliwość dostępu do zasobów w Amazon S3. Po pierwszym powiadomieniu od Capital One zamieszczone instrukcje zostały usunięte z GitHub.
W ramach postępowania sądowego została również Paige Thompson, była pracownica Amazona, która w marcu wykryła problem i w kwietniu umieściła na GitHub informacje dotyczące uzyskania dostępu. Szczegóły opisujące problem pozostawały na GitHub od 21 kwietnia do połowy lipca. W pozwie Capital One zarzuca niewłaściwą organizację monitorowania nieautoryzowanego dostępu, co doprowadziło do tego, że wyciek pozostawał niezauważony przez około trzy miesiące.
Źródło: opennet.ru
