24.04.2019 в 19:11 (МСК) наша система DeviceLock Data Breach Intelligence обнаружила открытую базу MongoDB, принадлежащую группе компаний «Центр противопожарной защиты» (cpz-nk.ru) из г. Новокузнецк (Кемеровская область). 🚒

В базе общим размером 863,9 Кб находилось более 1400 записей, содержащих:

🌵 10 внутренних пользователей CRM-системы (фамилия, имя, логин, хеш пароля/соль, адрес электронной почты, должность, фотография)

🌵 175 клиентов компании (ФИО, телефон, адрес электронной почты, название организации, должность, адрес и реквизиты организации)

🌵 193 контактов/лидов в работе (ФИО, статус, приоритет, название организации, ссылки на договора, вид оказываемых услуг и т.п.)

🌵 26 сотрудников компании (ФИО, дата рождения, телефон, образование, должность, фотография, категория водительского удостоверения, аттестации, рабочая смена, числовые показатели интеллекта, силы и духа)

🌵 57 событий/учений (дата, время начала и окончания, название, описание, задействованные сотрудники и транспорт)

🌵 105 объектов (GPS-координаты, адрес, название, ФИО, телефон и должность контактного лица)

🌵 9 транспортных средств (госномер, инвентаризационный номер, фотография, дата выпуска)

🌵 560 оборудования (название, описание, инвентаризационный номер, место нахождение и т.п.)

🌵 и многое другое…

В тот же день в 19:47 мы оповестили компанию, но ответа от них так никогда и не получили. База оставалась свободно доступной (и изменялась) вплоть до 16.05.2019. 🐏

11.05.2019 эту базу обнаружили хакеры из группировки Unistellar (про них тут: https://news.1rj.ru/str/dataleak/1017) и немного ее «подправили». 😂🤦‍♂️

В Shodan база находилась с 19.03.2019. 👍

Открытая база Центра противопожарной защиты в момент обнаружения нами (слева) и после обнаружения хакерами из Unistellar (справа). Между этими событиями прошло 17 дней. 🤦‍♂️🤦🏻‍♂️🙈

А помните мы писали (тут: https://news.1rj.ru/str/dataleak/961), как в открытом доступе оказались все подробности платежей в пользу ГИБДД и ФССП пользователей сайтов оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net и oplata-fssp.ru? 😎

На Хабре даже есть более подробная статья про эту утечку: «Сотни тысяч платежей граждан в ГИБДД и ФССП находились в открытом доступе».

Вы не поверите, но это случилось опять! Или снова. Тут с какой стороны посмотреть на эту проблему. 🤦‍♂️🤦🏻‍♂️😱

21.05.2019 тот же самый (что и первый раз) сервер Elasticsearch, с теми же самыми (плюс новые) индексами снова появляется в открытом доступе.

В первый раз, после нашего оповещения, сервер «тихо» был убран из свободного доступа 13.04.2019 около 15:20-15:45 (МСК). После этого этот IP-адрес сканировался Shodan'ом 11 раз и Elasticsearch не был доступен вплоть до 21.05.2019 15:59.

22.05.2019 в 1:25 мы оповестили владельцев о проблеме и вплоть до утра 24.05 Elasticsearch оставался открытым. 🙈

За промежуток с 01.05 по 22.05 в индексах было доступно:

✅ 127525 записей в индексе paygibdd
✅ 49627 записей в индексе shtrafov-net
✅ 162282 записей в индексе oplata-fssp
✅ 220201 записей в индексе gosoplata

Напомним, что в индексах содержалось: номер постановления о штрафе, государственный номерной знак автомобиля, номер исполнительного производства при платеже на сайте службы судебных приставов, первые и последние цифры банковских карт, через какой платёжный сервис произведена оплата и пр. 🔥

24.05 мы получили такое сообщение:

Получили Ваше письмо про открытый ElasticSearch - спасибо за информацию, базу данных закрыли. Системный администратор, повторно открывший доступ, уволен. Также юрслужба готовит к направлению в МВД по Республике Татарстан Заявление о признаках наличия в действиях системного администратора состава по 272 и 273 статьям УК РФ.

Индексы свободно доступного сервера с данными по госоплатам. Вверху – 13.04.2019, на момент первого закрытия. Внизу - 23.05.2019, перед вторым закрытием.

Пример данных из индекса paygibdd.

Пример данных из индекса gosoplata.

Пример данных из индекса oplata-fssp.

Пример данных из индекса shtrafov-net.

Клоуны, известные как «мамкины хакеры», служащие поставщиками новостей для блогеров-истеричек (https://news.1rj.ru/str/dataleak/1051) снова вышли на связь и вывалили в свой канал документы, с пафосным сопроводительным текстом:

Всем доброго времени суток. Сегодня речь идет о данных российской инфраструктуры Ленинградской области и некоторые военные данные. Что делать с этими данными - решать вам!

По факту все три документа давно опубликованы в свободном доступе на соответствующих сайтах:

1️⃣ http://unitex-center.ru/cadets
2️⃣ http://pub-sed.lenreg.ru/publishing/Document/2332.html#document-text
3️⃣ https://pandia.ru/text/80/228/1254.php

Школьникам не следует брезговать поиском в Google, а то мамка заругает. 😂

С 29 по 31 мая в Казани на 13-ом всероссийском IT & Security Forum (ITSF) можно будет ознакомиться с решением DeviceLock DLP и сервисом DeviceLock Data Breach Intelligence. 👇

https://www.devicelock.com/ru/news/devicelock-predstavit-svoi-resheniya-i-servisy-na-itsf-2019.html

Помните, как в апреле в открытом доступе оказались подробности платежей в пользу ГИБДД и ФССП пользователей сайтов оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net и oplata-fssp.ru?

И вот уже в мае, тот же самый сервер Elasticsearch с данными той же самой системы снова оказался открытым для всего мира: 👇

https://habr.com/ru/post/454048/


Наша система DeviceLock Data Breach Intelligence обнаружила этот сервер повторно 21.05.

В свободном доступе появилась база должников управляющей компании ГБУ "Жилищник района Дорогомилово", актуальностью на 22.04.2019.

В Excel-файле находится 3276 записей, содержащих:

✅ адрес
✅ домашний телефон
✅ ФИО
✅ сумму задолженности
✅ площадь квартиры
✅ количество зарегистрированных (включая детей, пенсионеров, льготников)

Районный суд Великого Новгорода вынес обвинительный приговор частному детективу, признанному виновным в совершении четырех преступлений, предусмотренных ч. 1 ст. 272 УК РФ (неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло копирование компьютерной информации), и одного преступления, предусмотренного ч. 2 ст. 272 УК РФ (неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло копирование компьютерной информации, совершенный из корыстной заинтересованности). Ему назначено наказание в виде штрафа в размере 150 тысяч рублей.

Частный детектив, используя доверительные отношения с сотрудниками областного УМВД, неоднократно получал неправомерный доступ к персональных данным неопределенного числа граждан, посредством предоставленного ему во временное пользование компьютера, подключённого к интегрированным банкам данных (ИБД) ИЦ УМВД России по Новгородской области.

Со своих клиентов детектив получал по 3 тысячи рублей за собранные из баз УМВД данные.

Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут: 👇
https://www.devicelock.com/ru/blog/kak-v-rossii-lovyat-i-nakazyvayut-za-nezakonnuyu-torgovlyu-personalnymi-dannymi.html

Уважаемые читатели канала, напоминаем вам про подписку на дайджест наиболее значимых утечек месяца! 🔥

Если нет времени читать все публикации на канале или захотите по итогам месяца освежить память - рекомендуем подписаться. 😎 Только раз в месяц, никакого спама.

Подписаться на дайджест можно по этой ссылке: 👇
https://www.devicelock.com/ru/subscribe.html

А вот, например, сервер ООО «Котласгазсервис»: http://www.kotlasgaz.ru/content/request/ 🤦‍♂️

В директориях лежат сканы паспортов, свидетельств о регистрации собственности, справок и других документов. 🔥

Все файлы уже «утекли» в открытый доступ и распространяются в виде одного архива, размером 340 Мб. 😎

Недавно та же самая проблема была (и есть до сих пор) с сервером службы «Али такси» (https://news.1rj.ru/str/dataleak/1049).

18-го мая обнаружили свободно доступный сервер Elasticsearch с данными «Департамента информационных технологий города Москвы» (dit.mos.ru).

В индексе unidata-backend-log-2019.05 находились в открытом виде административные логины и пароли к платформе «Юнидата», расположенной на том же самом IP-адресе (92.53.100.134:8080/unidata-frontend-admin/).

Кроме того, в самом индексе находилось несколько сотен ФИО, полных паспортных данных, адресов, номеров СНИЛС, адресов электронной почты и т.п.

Большинство данных однозначно идентифицируется как тестовые данные. Небольшая часть выглядит как данные реальных людей, но возможно таковыми не являются.


13-го апреля мы уже обнаруживали другую (реальную) открытую базу данных Elasticsearch, содержащую данные проекта Правительства Москвы - «Московское долголетие»: https://news.1rj.ru/str/dataleak/954

Если у вас не было возможности посетить форум PHDays и услышать презентацию Ашота Оганесяна, технического директора и основателя DeviceLock, о том, как происходят утечки данных из незащищенных хранилищ, как их обнаруживают исследователи и что может дать заказчикам сервис DeviceLock Data Breach Intelligence - можно это исправить.
 
Во вторник, 4 июня 2019 г. в 15:00 (MSK) состоится бесплатный вебинар "Разведка уязвимостей хранения данных, или DeviceLock Data Breach Intelligence". Для участия необходима предварительная регистрация:

http://dialognauka.ru/press-center/events/21330/

Новая напасть на открытые MongoDB – 4 базы (3 в США и 1 в Гонконге) «заражены» новым сообщением «unistellar_petushara_ho_ho». 😂

Про «hacked_by_unistellar» мы писали ранее (https://news.1rj.ru/str/dataleak/1017). На текущий момент этими вымогателями «заражено» 12,817 по всему миру, из них 272 в России.

Скоро напишем технические подробности этого инцидента. 🔥🔥🔥


Более 400 тысяч адресов электронной почты и 160 тысяч телефонных номеров, а также 1200 пар логин-пароль для доступа в личные кабинеты клиентов крупнейшей транспортной компании Fesco оказались в открытом доступе, сообщили D-Russia.ru в российской компании DeviceLock, производителе средств защиты от утечек информации.

http://d-russia.ru/proizoshla-utechka-dannyh-iz-krupnoj-rossijskoj-transportnoj-kompanii.html

Как и обещали ранее – подробности утечки из крупнейшей российской транспортно-логистической компании FESCO (www.fesco.ru). 🔥🔥🔥

Утром 22.05.2019 система DeviceLock Data Breach Intelligence обнаружила в открытом доступе сервер Elasticsearch с индексами:

graylog_20
graylog_21
graylog_18
graylog_19
graylog_24
graylog_22
graylog_17
graylog_23

На момент обнаружения суммарный размер этих индексов превышал 52 Гб. 👍

Анализ показал, что логи принадлежат специализированному программному продукту CyberLines (www.cyberlines.ru), а сам сервер Elasticsearch с большой долей вероятности содержит данные компании FESCO:

"settings": "{\"denoscription\":\"Киберлайнз\",\"url\":\"msk-sql04.hq.fesco.com\",\"user\":\"personal_area\",\"options\":{\"appName\":\"my.fesco.ru\",\"debug\":1,\"port\":1433,\"database\":\"Cyberlines\",\"requestTimeout\":45000},\"poolConfig\":{\"min\":2,\"max\":4,\"log\":false}}"

В 15:45 мы оповестили FESCO и компанию CyberLines о проблеме. Примерно в 16:10 сервер Elasticsearch «тихо» исчез из открытого доступа. 😂 Перед самым закрытием на сервере находился только один индекс: graylog_0, размером 651 Мб.

По данным Shodan, впервые данный Elasticsearch оказался в свободном доступе 05.03.2018. 🤦‍♂️

В логах системы содержалось (все данные – оценочные, дубли из подсчетов не удалялись, поэтому объем реальной утекшей информации скорее всего меньше):

🌵 более 400 тыс. записей, содержащих адреса электронной почты
🌵 более 160 тыс. записей, содержащих номера телефонов
🌵 более 1200 записей, содержащих пары логин/пароль (в текстовом виде) для портала my.fesco.com 🤦🏻‍♂️
🌵 несколько тысяч записей с паспортными данными
🌵 сотни тысяч записей с номерами инвойсов, заявок, отправлений и т.п. информацией

"track_uid\":1831289,\"заявка\":869837,\"менеджер\":\"Игумнова И.\",\"пункт отправления\":\"Шанхай\",\"пункт назначения\":\"Москва\",\"выход пункт отправления\":\"Владивосток (эксп.)\",\"выход пункт назначения\":\"Ховрино\",\"морской коносамент\":\"FCMV322453\",\"подход|транспорт|№/ наименование\":\"TIM-S.\",\"подход|транспорт|описание\":\"761\",\"таможенный режим\\\\вид сообщения\":\"ГТД (DDP)\",\"декларант\":\"Клиент\",\"дни хранения\":3,\"ткдрм\":null,\"кол-во взвешиваний\":null,\"кол-во таможенных досмотров\":null,\"кол-во осмотров с использованием рентгена (мидк)\":null,\"платформа|номер\":\"98034374 \",\"получение реестра\":null,\"альтернативные станции\":null,\"тип контейнера\":\"40HC\",\"собственник контейнера\":\"ФИТ\",\"№ контейнера (префикс + номер)\":\"DNAU8011890\",\"номер пломбы\":\"F6388323\",\"код клиента\":\"TIAISR\",\"особые заявления и отметки отправителя\":\" \\\"Получение КТК и оплату терм. услуг осуществляет ООО «ФЕСКО Транс» ИНН 7702546450 по заявке ООО «ФИТ» для ООО \\\"\\\"ПРОМТКАНЬ\\\"\\\" г. Иваново Суздальская 16А контактное лицо XXX Николай Сергеевич, паспорт 24 \\nXXXXXX\\nт. 8-961-119-XX-XX\\n\\\"\\n

В личных кабинетах клиентов FESCO на портале my.fesco.com содержались сканы таможенных деклараций, счетов-фактур и актов с печатями. Все это можно было выгрузить в виде архивов, содержащих PDF-файлы. 🙈

Личный кабинет клиента FESCO, логин и пароль к которому находились в открытом виде в логах ИС. 😱