Mein Hund gegen Elite-Anwälte (Teil 2): Die 5-Jahres-PDF-Sicherheitslücke, die globale Konzerne gefährdet
Wir dachten, Taylor Wessing habe einen manuellen Fehler gemacht. Wir lagen falsch. Es ist eine automatisierte, kanzleiweite Katastrophe, die Pfizer, Just Eat, SAP, Chubb und Valve betrifft.
Das von Taylor Wessing verwendete Schwärzungsskript wird mit einer veralteten Bibliothek kompiliert (Aspose.PDF für .NET 20.8) das ebenfalls für ungepatchte Schwachstellen hinsichtlich Remote Code Execution (RCE) bekannt ist.
Nach der Veröffentlichung des ersten Beitrags, der aufdeckte, wie Taylor Wessing versehentlich 830 Seiten sensibler Steam-Benutzerdaten durchsickern ließ, wurde uns etwas Grundlegendes über Unternehmensanwälte klar: Sie sind in der Regel zu selbstgefällig, um auf über 800 Seiten manuell schwarze Kästen zu zeichnen. Nein, sie haben es nicht manuell getan. Sie verwendeten ein Skript. Und genau in diesem Moment hörte der Witz auf, lustig zu sein, und wurde zu einer systemischen, globalen Cybersicherheitskrise.
Die billige Software hinter der Elite-Fassade
Die forensische Metadaten-Extraktion der 830-seitigen Antwort von Taylor Wessing ergab eine Verarbeitungszeit von exakt 36 SekundenDas ist der entscheidende Beweis: Sie haben nicht manuell geschwärzt, sondern ein automatisiertes, fehlerhaftes Skript verwendet.
Um Geld für ordentliche, unternehmensgerechte Datenlöschungssoftware zu sparen, verlassen sich ihre Systeme auf eine generische, veraltete Bibliothek: Aspose.PDF für .NET 20.8Das Kernproblem besteht darin, dass ihr Skript diese veraltete Software verwendet, um schwarze Vektor-Rechtecke zu zeichnen (unter Verwendung von re/f Operatoren im PDF-Code) über Textkoordinaten, anstatt die zugrunde liegende Textebene ordnungsgemäß zu bereinigen und zu löschen.
Der Blast Radius: Wessen Daten hat Taylor Wessing verarbeitet?
Wir haben andere Dateien getestet, die Taylor Wessing für nicht zusammenhängende Mandanten verarbeitet hatte. Sie enthielten exakt dieselben Metadaten, dieselbe Schwachstelle und dasselbe fehlerhafte Schwärzungsskript.
Diese Schwachstelle ist wahrscheinlich in Dokumenten vorhanden, die seitdem von Taylor Wessing verarbeitet wurden. 2019Basierend auf ihren öffentlichen Kundenlisten und unseren forensischen Erkenntnissen müssen wir eine erschreckende Frage hinsichtlich der Daten stellen, die sie in den letzten fünf Jahren verarbeitet haben:
- Und was ist mit den Millionen von Spielern in der Valve (Steam) Ökosystem?
- Wie sieht es mit den globalen GDPR-Compliance-Dokumenten von Nur Essen?
- Was ist mit den europäischen Datentransfers für Technologiegiganten wie SAP und Vinted?
- Wie sieht es mit den sensiblen Vorfallsberichten für Chubb Versicherung (wo Taylor Wessing in ihrem "Cyber Incident Response Team" sitzt)?
- Was ist mit den hochvertraulichen klinischen Daten, die von Pfizer?
Wenn Taylor Wessing dasselbe billige Skript zur „Schwärzung“ von Dokumenten für diese Unternehmen verwendet hat, haben sie nichts verborgen. Sie haben es absichtlich offengelegt.
⚡️ Installation-freie Lifehacks (So überprüfen Sie es)
- Der „Alle auswählen“-Hack: Öffnen Sie das PDF in Ihrem Browser. Drücken Sie
Ctrl + A(Alle auswählen), dannCtrl + C(Kopieren) und fügen Sie es in Notepad ein. Wenn die Schwärzung gefälscht ist, wird der verborgene Text direkt mit eingefügt. - Der „Blind Search“-Hack: Drücken
Ctrl + Fund suchen Sie nach häufigen Zeichen wie „a“ oder „1“. Wenn der Browser einen Treffer registriert und die schwarze Box hervorhebt, ist die Textebene noch aktiv.
🛠️ Sichere Offline-Prüfung
- LibreOffice Draw: Öffnen Sie das PDF, klicken Sie auf das schwarze Feld und drücken Sie die Entf-Taste, um den darunterliegenden Text sichtbar zu machen.
- Adobe Acrobat Pro: Nutzen Sie das Werkzeug "PDF bearbeiten", um die schwarzen Formen einfach aus dem Weg zu ziehen.
Laden Sie keine sensiblen Rechtsdokumente in beliebige Online-PDF-Editoren hoch – Sie könnten selbst eine Datenschutzverletzung begehen. Verwenden Sie ausschließlich lokale Software.
Ein rechtlicher Hinweis: Die 72-Stunden-Regel
Wir empfehlen Taylor Wessing dringend, jedes einzelne PDF, das sie jemals versendet haben, zu prüfen. Unter Artikel 33 DSGVOSobald ein für die Verarbeitung Verantwortlicher Kenntnis von einer Verletzung des Schutzes personenbezogener Daten erlangt, ist er gesetzlich verpflichtet, die zuständige Aufsichtsbehörde innerhalb von 72 StundenDer Versuch, dies unter den Teppich zu kehren, wird nur maximale regulatorische Strafen auslösen. Die Uhr tickt.
