Monster.com medger att tredjepartsserver exponerade tusentals CV

Monster Data Breach

Monster.com är en populär sysselsättningswebbplats som innehåller en enorm databas med CV. Plattformen litar på miljarder människor runt om i världen. Det verkar dock som om sådana stora rekryteringssidor är jämnt mottagliga för dataintrång.

Nyligen en säkerhetsforskare fick syn på en sårbarhet på en webbserver som innehöll många återupptagningar. Tyvärr var Monster.com en av de plattformar som påverkades på grund av denna sårbarhet. Rapporterna tyder på att servern hade återupptagit av arbetssökande mellan 2014 och 2017. Det är uppenbart att den exponerade servern läckt ut viktig information relaterad till dessa arbetssökande inklusive adresser, telefonnummer, tidigare arbetserfarenhet och e-postadresser.

Även om Monster.com aldrig samlar in invandringsinformation, läcktes denna information också i de exponerade filerna. Myndigheterna var snabba att vidta nödvändiga åtgärder och tog bort den exponerade servern. Dock kan de skadliga aktörerna fortfarande få tillgång till dessa CV med hjälp av cacheminnet i sökmotorn.

Enligt Monster tillhörde denna server en rekryteringsbyrå från tredje part och företaget arbetar inte längre med dem. Rekryteringssidan nekade att dela med sig av detaljer relaterade till rekryteringsbyrån. Det värsta med denna situation är att Monster.com inte informerade användarna om dataintrånget i första hand. Företaget varnade sina användare efter att säkerhetsforskaren rapporterade det.

Datainsamlare bör varna användare om överträdelser

Vi håller med om att Monster själv inte var inblandad i dataintrånget. Ändå sätter denna situation alla sysselsättningsplattformar i fråga om deras dataskyddspraxis. Vi har sett många exempel där tredje parter var inblandade i att exponera data.

Därför är datainsamlarna ansvariga för att hålla ett öga på behörigheter för tredje parter som har tillgång till användardata. De måste se till att tredje part följer plattformens cybersäkerhetspolicy. Privilegierna bör begränsas så att de passar deras roll.

Med tanke på att Monster.com inte varnade användarna själva, bör sådana företag varna användare om säkerhetsöverträdelser som äventyrar deras personuppgifter. Effekten av dessa incidenter kan ge en negativ inverkan på användarna vid förnekelse. Det finns ingen rättslig skyldighet för dessa företag att varna användare och tillsynsmyndigheter om sådana incidenter. Det anses dock vara en moralisk praxis att informera användare om detsamma.