В апреле нами был обнаружен, находящийся в открытом доступе сервер Elasticsearch, с логами сервиса проверки надежности перевозчиков barameo.ru.

Сервис работает по такому принципу – в систему загружаются сканы документов перевозчика (паспорт, водительское удостоверение, свидетельство о регистрации ТС, ИНН организации), производится оплата (от 50 до 400 руб.) и на выходе получается подробный отчет в формате PDF, содержащий сведения о судимости, задолженности по налогам, исполнительных производствах, выписку из ЕГРИП/ЕГРЮЛ и т.п.

К несчастью для сервиса, в открытом доступе находились все сканы документов, которые пользователи загружали в систему. 😱

Кроме того, сами отчеты и квитанции об оплате (через платежный шлюз Robocassa) были также свободно доступны. В квитанциях об оплате содержатся адреса электронной почты плательщиков – клиентов сервиса barameo.

Мы сразу же уведомили сервис о проблеме и через несколько дней сервер «тихо» исчез из открытого доступа. 😂

Однако, все отчеты, квитанции, данные проверок и сканы документов по-прежнему свободно доступны по прямым ссылкам вида: 🤦🏻‍♂️🤦‍♂️

✅ отчет в PDF: https://barameo.ru/payment-success?inv_id=60&InvId=60&out_summ=55.000000&OutSum=55.000000&crc=******2a64dea4c7d25cf8a111334c7b31cf63b68e7dbba54e73c7e607881abb&SignatureValue=******2a64dea4c7d25cf8a111334c7b31cf63b68e7dbba54e73c7e607881abb&Culture=ru&shp_clientId=******7b-6601-4cb0-af23-11084b7e5d9c

✅ квитанция об оплате: https://auth.robokassa.ru/Merchant/State/Done/******-0AAD-4739-B6EF-2CA842C38C4E-dNtZI3Fy5r

✅ результат проверки в формате JSON: https://barameo.ru/api/kyc/review/******-5ea4-4e29-b248-f56c13414521

✅ скан паспорта: http://barameo.com/api/******-c36c-4122-ac83-481f7fc57edd779163ec-90c8-40e2-9fe1-3490cb58b33f46101539-0555-4f47-92c5-87382f7e12f9dd3075cd-e780-4132-ade2-67f61159e1595c4e9a4b-bc76-4a52-9689-777cade57e7f.jpg

Север находился в открытом доступе с 17.02.2019. 😎

Пример отчета по перевозчику сервиса barameo.

Пример сканов документов, оставленных в открытом доступе сервисом barameo.

Технические подробности этой утечки будут завтра. 👇🏿

Популярная отечественная платформа для продажи электронных билетов на развлекательные мероприятия radario.ru хранит десятки тысяч уже проданных е-билетов в открытом доступе, персональные данные пользователей платформы также не защищены, сообщили D-Russia.ru в DeviceLock DLP.

Ежедневно на платформе radario.ru продаётся более 25 тысяч билетов. Пользователями сервиса являются компании и индивидуальные предприниматели, заинтересованные в организации онлайн-продаж билетов на свои мероприятия. Также на сайте сервиса можно без регистрации приобрести билеты на любое из предлагаемых мероприятий.

http://d-russia.ru/novoe-slovo-v-organizatsii-utechek-servis-prodazhi-e-biletov-derzhit-ih-v-otrytom-dostupe.html

В электронной системе продажи билетов Radario была обнаружена и своевременно устранена уязвимость, которая могла привести к утечке данных клиентов сервиса, сообщил Агентству городских новостей «Москва» директор по маркетингу компании Кирилл Малышев.

«Нами действительно была обнаружена уязвимость в работе системы, связанная с регулярным обновлением, которая была устранена сразу же после обнаружения. В результате уязвимости при определенных условиях недружелюбные действия третьих лиц могли привести к утечке данных, однако каких-либо инцидентов зафиксировано не было. В данный момент все неисправности устранены», - сообщил К.Малышев.

Представитель компании подчеркнул, что было принято решение перевыпустить все билеты, проданные за время решения проблемы, чтобы полностью исключить возможность любого мошенничества в отношении клиентов сервиса.

Вечером 06.05.2019 наша автоматизированная система обнаружила в свободном доступе сервер Elasticsearch, принадлежащий сервису по продаже электронных билетов Радарио (www.radario.ru). 🔥🔥

По уже сложившейся печальной традиции, сервер содержал детальные логи информационной системы сервиса, из которых можно было получить персональные данные, логины и пароли пользователей, а также непосредственно сами электронные билеты на различные мероприятия по всей стране. 🙈

Общий объем логов превышал 1 Тб.

По данным поисковика Shodan сервер находился в открытом доступе с 11.03.2019. Мы оповестили сотрудников Радарио 06.05.2019 в 22:50 (МСК) и 07.05.2019 около 09:30 сервер стал недоступен.

В логах находился универсальный (единый) токен авторизации, предоставляющий доступ ко всем купленным билетам по специальным ссылкам, вида:

✅ http://radario.ru/internal/tickets/XXXXXXXX/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

✅ http://radario.ru/internal/orders/YYYYYYY/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

Проблема также заключалась в том, что для учета билетов использовалась сквозная нумерация заказов и простым перебором номера билета (XXXXXXXX) или заказа (YYYYYYY), можно было получить все билеты из системы. 🤦‍♂️

Отдельно хочется подчеркнуть, что были доступны билеты как на уже прошедшие мероприятия, так и на те, которые еще только планируются. То есть, потенциальный злоумышленник мог воспользоваться чужим билетом для прохода на планируемое мероприятие.

В среднем в каждом индексе Elasticsearch, содержащем логи за один определенный день (начиная с 24.01.2019 и по 07.05.2019), находилось от 25 до 35 тыс. билетов.

Помимо самих билетов в индексе содержались логины (адреса электронной почты) и текстовые пароли для доступа в личные кабинеты партнеров Радарио, продающих билеты на свои мероприятия через данный сервис:

Content: \"ReturnUrl=&UserEmail=***@yandex.ru&UserPassword=***\"

Всего было обнаружено более 500 пар логин/пароль. В личных кабинетах партнеров видна статистика продаж билетов. 🤦🏻‍♂️

Также в открытом доступе находились ФИО, телефоны и адреса электронной почты покупателей, решивших осуществить возврат, купленных ранее билетов:

"Content": "{\"name\":\"***\",\"surname\":\"*** \",\"middleName\":\"Евгеньевна \",\"passportType\":1,\"passportNumber\":\"\",\"passportIssueDate\":\"11-11-2011 11:11:11\",\"passportIssuedBy\":\"\",\"email\":\"***@mail.ru\",\"phone\":\"+799*******\",\"ticketNumbers\":[\"****24848\",\"****948732\"],\"refundReason\":4,\"comment\":\"\"}"

За один, случайно выбранный день, было обнаружено более 500 таких записей.

Мы получили ответ на наше оповещение от технического директора Радарио: 👍

Я технический директор Радарио, и хотел бы поблагодарить за обнаружение проблемы. Доступ к эластику, как вам известно, мы закрыли и решаем вопрос с перевыпуском билетов для клиентов.

Пример билета из системы Радарио, находившегося в открытом доступе. Общий объем таких билетов мы оцениваем в сотни тысяч.

Личный кабинет партнера Радарио, в который можно было попасть «благодаря» хранившимся в текстовом виде паролям.

Разработчики одного из подразделений Samsung допустили утечку исходных кодов, ключей доступа, а также логинов и паролей, оставив это все в открытом доступе в публичном Git-репозитории на собственном сервере. 🔥

В свободно доступных исходных кодах приложений для платформы SmartThings, оказались ключи доступа к более чем 100 Amazon S3 (AWS) хранилищам, содержащим внутренние логи проектов и аналитические данные.

Кроме того, в Git-репозитории находились приватные сертификаты Samsung для подписи iOS и Android приложений платформы SmartThings. 🤦‍♂️🤦🏻‍♂️

Как предотвращать утечки конфиденциальных данных на GitHub, читайте в нашей статье: 👇
https://www.devicelock.com/ru/blog/kak-predotvraschat-utechki-konfidentsialnyh-dannyh-na-github.html

На Украине работник спецподразделения «КОРД» национальной полиции Хмельницкой области организовал с помощью двух работников местной таможни продажу частным лицам информации ограниченного доступа в отношении транспортных средств, ввозимых на территорию Украины.

За три месяца злоумышленники заработали около 500 тыс. рублей.

Разумеется, там сразу ищут «русский след»: 😂
В рамках уголовного производства проверяются факты возможной продажи персональных данных граждан Украины представителям российских спецслужб.

Хакеры из группировки Unistellar «дотянулись» до нескольких тысяч открытых баз MongoDB, уничтожив в них данные и требуя выкуп. 🙈

Во всех базах-жертвах, злоумышленники оставляют запись «hacked_by_unistellar» и сообщение «Restore ? Contact : unistellar@yandex.com».

В России находится более 230 серверов с MongoDB подвергшихся «нападению», а всего по миру более 12,5 тыс. 🔥

Про некоторые базы мы писали (в частности про мобильное приложение «Roamer»: https://news.1rj.ru/str/dataleak/984 и про данные мониторинга транспорта коммунальных хозяйств г. Минска: https://news.1rj.ru/str/dataleak/988). Они оставались открытыми, владельцы серверов никак не реагировали на сообщения и теперь все эти базы содержат запись «hacked_by_unistellar». 🤦‍♂️

Про некоторые наши находки мы еще не успели написать, но всегда уведомляли владельцев, теперь они пострадали. Скоро напишем кто конкретно. 😎

Многострадальная база с данными мобильного приложения «Roamer». До и после уничтожения хакерами из Unistellar.

А у нас снова про медицину! На этот раз в открытом доступе были персональные данные граждан, обращавшихся за получением медицинских справок для ГИБДД, на оружие, для поступления на государственную/муниципальную службу, для занятий спортом, для работы с использованием сведений, составляющих государственную тайну и т.п. 🔥🔥

17-го апреля этого года мы обнаружили сервер с базой данных MongoDB не требующей пароля для подключения. На одном IP-адресе с базой располагался веб-сервер с сайтом mc-optima.ru, принадлежащий сети региональных медицинских центров «Оптима». 🙈

В базе размером 22,4 Мб содержались персональные данные клиентов из Нижегородской, Ивановской и Владимирской областей. В том числе:

✅ ФИО
✅ полные паспортные данные (серия, номер, кем и когда выдан)
✅ пол
✅ адрес
✅ дата рождения
✅ дата обращения в медицинский центр
✅ стоимость услуг, скидка, способ оплаты (наличный, безналичный)
✅ тип справки (если для ГИБДД, то для каких категорий транспорта)
✅ номер медкарты и номер справки
✅ медицинские ограничения

Помимо клиентов, обращавшихся за справками, в базе также содержались сведения о пациентах, делавших различные исследования (УЗИ, флюорография и т.п.) и приходивших на прием к офтальмологу, гинекологу и т.п. врачам. 🤦🏻‍♂️

Всего в открытом доступе находилось более 18,5 тыс. записей.

Данная база находилась в свободном доступе с 14.11.2017!

Спустя почти 2 дня после нашего оповещения, сервер «тихо» прикрыли.

Напомним случаи обнаружения данных пациентов и медицинских организаций: 🚑 🏥

1️⃣ DOC+ (ООО «Новая Медицина»): https://news.1rj.ru/str/dataleak/841
2️⃣ Доктор рядом: https://news.1rj.ru/str/dataleak/855
3️⃣ Лаборатория CMD: https://news.1rj.ru/str/dataleak/892 и https://news.1rj.ru/str/dataleak/898
4️⃣ Станции скорой медицинской помощи: https://news.1rj.ru/str/dataleak/916
5️⃣ Лабораторная Информационная Система «Ариадна»: https://news.1rj.ru/str/dataleak/945
6️⃣ Зуботехническая лаборатория «CAD\CAM_LAB»: https://news.1rj.ru/str/dataleak/993

Пример записи из открытой базы данных сети медицинских центров «Оптима».

Схема расположения сетевых ресурсов на сервере с открытой базой данных MongoDB сети медицинских центров «Оптима».

Представляем @SecLabNews - канал русскоязычного новостного портала SecurityLab.ru, оперативно публикующего информацию о последних новостях IT-безопасности в России и мире.

1-го апреля мы обнаружили в свободном доступе сервер Elasticsearch с логами медицинской IT-системы сети лабораторий «Центр молекулярной диагностики» (CMD).

Из логов можно было получить весьма чувствительную информацию, включая ФИО, пол, даты рождения пациентов, ФИО врачей, стоимость исследований, данные исследований, файлы с результатами скрининга и многое другое.

Читайте детальное описание "находки" на Хабре: 👇
https://habr.com/ru/post/451678/

20-го апреля наша автоматизированная система DeviceLock Data Breach Intelligence выявила сервер с базой данных MongoDB не требующей пароля для подключения.

В базе данных содержался журнал доступа пользователей к информационной системе (ИС) редакции информационного агентства REGNUM (regnum.ru). Из логов можно было понять кто и когда создавал новостные записи и редактировал их.

Помимо логов, в базе содержалось 138 контактов сотрудников редакции в мессенджере Telergram.

Спустя почти 2 дня после нашего оповещения базу данных «тихо» прикрыли. 😎

Не так много у нас новостей из Белоруссии. Но вот… 👇

В свободном доступе появилась часть базы клиентов белорусской страховой компании «Белгосстрах» актуальностью февраль 2019 года. 🔥

В Excel-файле находится 22 тыс. строк, содержащих:

✅ номер карты
✅ ФИО
✅ пол
✅ телефон
✅ адрес
✅ дата рождения

Компания DeviceLock – российский производитель систем борьбы с утечками данных, анонсировала новый сервис - «разведку уязвимостей хранения данных», а также мониторинг мошеннических ресурсов и активностей в DarkNet. 🔥🔥🔥

Сервис работает на основе технологий искусственного интеллекта и осуществляет проверку внешней серверной инфраструктуры, а также выявление недостатков в реализации систем хранения информации. В рамках регулярных обследований проводится поиск серверов с текущими или архивными данными, журналами информационных систем, а также анализ обнаруженных данных с помощью механизмов машинного обучения на наличие в них чувствительной информации, включая персональные данные, информацию с признаками коммерческой тайны и другие. Кроме того, ИИ осуществляет постоянный мониторинг предложений о продаже данных в группах Telegram, на различных закрытых площадках и форумах, а также ресурсах в DarkNet. 👍

https://www.devicelock.com/ru/press/devicelock-sozdal-ii-dlya-razvedki-uyazvimostej-hraneniya-dannyh.html