A Censys kutatócsapata által írt blogbejegyzés ezt az ellentmondást járja körül, és öt konkrét esetkategórián keresztül mutatja be, hogyan válhat érzékeny adat elérhetővé anélkül, hogy bármilyen DLP-riasztás megszólalna.

A mozgás és a kitettség különbsége

A DLP azt a kérdést válaszolja meg: hová ment az adatunk? De van egy másik kérdés, amelyet a szabályozók legalább ennyire fontosnak tartanak: hol érhető el aktuálisan az adatunk, mindenféle mozgás nélkül?

Egy rosszul konfigurált adatbázis, egy elfelejtett fájlszerver vagy egy hitelesítés nélkül elérhető AI-integráció nem vált ki DLP-riasztást. Senki nem küldött e-mailt, senki nem sértett megosztási szabályt. Az adat viszont nyilvánosan elérhető az interneten, és a DLP soha nem volt erre a területre irányítva.

Az öt leggyakoribb kitettségi kategória

Az első az FTP-szerverek esete. Sok szervezetnél évekkel ezelőtt állítottak fel FTP-kiszolgálókat bérszámfejtési vagy HR-adatok cseréjéhez, majd elfelejtették azokat leállítani. Ezeken a szervereken ma is ott találhatók az onboarding dokumentumok, az adóazonosítók és a bérügyi exportok, titkosítatlanul, nyilvánosan.

A második az adatbázisok esete. A valaha volt legnagyobb véletlen adatkiszivárgások nyilvánosan elérhető adatbázisokon keresztül történtek. Egy MongoDB-példány, amely hitelesítés nélkül válaszol a lekérdezésekre, vagy egy Redis-adatbázis, amely jelszó nélkül fogad parancsokat, komoly kockázatot jelent.

A harmadik kategória az üzenetsorok (message queue-k) esete. Az üzenetközvetítő rendszereket általában nem tartják nyilván adattárolóként, ezért könnyebben hagyják nyilvánosan elérhetővé. Pedig egy pénzügyi vagy egészségügyi alkalmazás üzenetei valós idejű tranzakcióeseményeket, ügyfélazonosítókat és munkamenetadatokat közvetíthetnek, és egy külső megfigyelő hitelesítés nélkül feliratkozhat az adatfolyamra.

A negyedik és legújabb kategória az MCP-szerverek esete. A Model Context Protocol (MCP) az a szabvány, amellyel az AI-asszisztensek adatforrásokhoz és eszközökhöz csatlakoznak, például adatbázisokhoz, fájltárolókhoz, CRM-rendszerekhez. A protokoll alapértelmezetten nem követel meg hitelesítést. A Censys kutatói 2026 áprilisában 12520 nyilvánosan elérhető MCP-szolgáltatást találtak, azóta ez a szám 2,5 millió fölé emelkedett. Egy nyilvánosan elérhető MCP-szerver hirdeti, hogy milyen adatforrásokhoz fér hozzá, vagyis egy külső fél akár azt is megtudhatja, milyen szabályozott adatrendszerekhez csatlakozik a szervezet AI-eszköze.

Az ötödik kategória az egészségügyi rendszerek esete. Az orvosi képalkotó rendszerek, a betegadatokat kezelő rendszerek és az ideiglenesnek szánt, de azután elfelejtett webes felületek komoly, szabályozói szempontból automatikusan kritikus kitettséget jelentenek.

Kié a felelősség?

A blogbejegyzés egy fontos szervezeti kérdést is felvet: kié ez a probléma? A technikai javítás – a szerver leállítása vagy a hozzáférés korlátozása – az infrastruktúra csapat dolga. De annak megítélése, hogy az adott kitettség érint-e szabályozott adatot, és fennáll-e bejelentési kötelezettség, az adatvédelmi csapat felelőssége. A Censys Attack Surface Management megmutatja, mi van kitéve a nyilvánosságnak. Az adatvédelmi csapat dönti el, hogy az ott lévő adat kritikus-e, és mit kell tenni.

A Censys folyamatosan és automatikusan feltérképezi a nyilvános internet összes elérhető eszközét és szolgáltatását. Ez azt jelenti, hogy a szervezet láthatja, mi érhető el kívülről. A Censys Attack Surface Management platform éppen ezt a vakfoltot fedi le, amelyet a DLP-eszközök nem látnak.

Értéknövelt disztribútorként a RelNet a Censys Attack Surface Management megoldást elérhetővé teszi a hazai partnerek és ügyfelek számára. Ha Ön szeretné megtudni, hogy a szervezete nyilvánosan elérhető rendszerei milyen adatokat tesznek ki a külvilágnak, keresse bizalommal a RelNet szakértőit!

Forrás

Your DLP Stack Has a Blind Spot. It’s the Public Internet.

Kapcsolódó tartalom

Censys képzések a RelNet eLearning programban