Критическая уязвимость в Filevine раскрыла данные клиентов
Исследователь безопасности Алекс Шапиро выявил критическую уязвимость в Filevine, юридической AI-платформе, оценочная стоимость которой превышает $1 млрд. API сервиса не требовал аутентификации при запросе, возвращая полный административный токен для доступа к файловому хранилищу клиента.
Ранее сотрудничавший с Yale Law School в области безопасности LegalTech, Шапиро провел анализ работы Filevine с данными. Обнаружив некорректно работающую страницу клиента – юридической фирмы Margolis, – через перебор поддоменов, он исследовал минифицированный JavaScript. В результате, был найден эндпоинт AWS API Gateway, при простом POST-запросе без токена выдававший административный ключ к Box API – корпоративному хранилищу фирмы.
Поиск конфиденциальной информации обнаружил около 100 000 соответствующих записей. Под угрозой были все документы юридической фирмы, включая данные, материалы под судебным ордером, внутренние записки и зарплатные ведомости.
После подтверждения масштаба уязвимости Шапиро прекратил тестирование и уведомил Filevine. Компания оперативно отреагировала: проблема была подтверждена 4 ноября и устранена к 21 ноября. Шапиро отметил, что это пример ответственного раскрытия информации.
Filevine – платформа для управления юридическими делами, использующая AI для анализа документов, генерации писем и работы с материалами дел. Компания демонстрирует быстрый рост в LegalTech, получив $400 млн инвестиций в сентябре 2025 года и показывая 130% годового роста AI-выручки. Шапиро предостерегает компании от излишней спешки в гонке за AI, напоминая о важности защиты самых чувствительных данных.
