Новая напасть на открытые MongoDB – 4 базы (3 в США и 1 в Гонконге) «заражены» новым сообщением «unistellar_petushara_ho_ho». 😂
Про «hacked_by_unistellar» мы писали ранее (https://news.1rj.ru/str/dataleak/1017). На текущий момент этими вымогателями «заражено» 12,817 по всему миру, из них 272 в России.
Про «hacked_by_unistellar» мы писали ранее (https://news.1rj.ru/str/dataleak/1017). На текущий момент этими вымогателями «заражено» 12,817 по всему миру, из них 272 в России.
Скоро напишем технические подробности этого инцидента. 🔥🔥🔥
Более 400 тысяч адресов электронной почты и 160 тысяч телефонных номеров, а также 1200 пар логин-пароль для доступа в личные кабинеты клиентов крупнейшей транспортной компании Fesco оказались в открытом доступе, сообщили D-Russia.ru в российской компании DeviceLock, производителе средств защиты от утечек информации.
http://d-russia.ru/proizoshla-utechka-dannyh-iz-krupnoj-rossijskoj-transportnoj-kompanii.html
Более 400 тысяч адресов электронной почты и 160 тысяч телефонных номеров, а также 1200 пар логин-пароль для доступа в личные кабинеты клиентов крупнейшей транспортной компании Fesco оказались в открытом доступе, сообщили D-Russia.ru в российской компании DeviceLock, производителе средств защиты от утечек информации.
http://d-russia.ru/proizoshla-utechka-dannyh-iz-krupnoj-rossijskoj-transportnoj-kompanii.html
Digital Russia
Произошла утечка данных из крупной российской транспортной компании
Более 400 тысяч адресов электронной почты и 160 тысяч телефонных номеров, а также 1200 пар логин-пароль для доступа в личные кабинеты клиентов крупнейшей
Как и обещали ранее – подробности утечки из крупнейшей российской транспортно-логистической компании FESCO (www.fesco.ru). 🔥🔥🔥
Утром 22.05.2019 система DeviceLock Data Breach Intelligence обнаружила в открытом доступе сервер Elasticsearch с индексами:
graylog_20
graylog_21
graylog_18
graylog_19
graylog_24
graylog_22
graylog_17
graylog_23
На момент обнаружения суммарный размер этих индексов превышал 52 Гб. 👍
Анализ показал, что логи принадлежат специализированному программному продукту CyberLines (www.cyberlines.ru), а сам сервер Elasticsearch с большой долей вероятности содержит данные компании FESCO:
"settings": "{\"denoscription\":\"Киберлайнз\",\"url\":\"msk-sql04.hq.fesco.com\",\"user\":\"personal_area\",\"options\":{\"appName\":\"my.fesco.ru\",\"debug\":1,\"port\":1433,\"database\":\"Cyberlines\",\"requestTimeout\":45000},\"poolConfig\":{\"min\":2,\"max\":4,\"log\":false}}"
В 15:45 мы оповестили FESCO и компанию CyberLines о проблеме. Примерно в 16:10 сервер Elasticsearch «тихо» исчез из открытого доступа. 😂 Перед самым закрытием на сервере находился только один индекс: graylog_0, размером 651 Мб.
По данным Shodan, впервые данный Elasticsearch оказался в свободном доступе 05.03.2018. 🤦♂️
В логах системы содержалось (все данные – оценочные, дубли из подсчетов не удалялись, поэтому объем реальной утекшей информации скорее всего меньше):
🌵 более 400 тыс. записей, содержащих адреса электронной почты
🌵 более 160 тыс. записей, содержащих номера телефонов
🌵 более 1200 записей, содержащих пары логин/пароль (в текстовом виде) для портала my.fesco.com 🤦🏻♂️
🌵 несколько тысяч записей с паспортными данными
🌵 сотни тысяч записей с номерами инвойсов, заявок, отправлений и т.п. информацией
"track_uid\":1831289,\"заявка\":869837,\"менеджер\":\"Игумнова И.\",\"пункт отправления\":\"Шанхай\",\"пункт назначения\":\"Москва\",\"выход пункт отправления\":\"Владивосток (эксп.)\",\"выход пункт назначения\":\"Ховрино\",\"морской коносамент\":\"FCMV322453\",\"подход|транспорт|№/ наименование\":\"TIM-S.\",\"подход|транспорт|описание\":\"761\",\"таможенный режим\\\\вид сообщения\":\"ГТД (DDP)\",\"декларант\":\"Клиент\",\"дни хранения\":3,\"ткдрм\":null,\"кол-во взвешиваний\":null,\"кол-во таможенных досмотров\":null,\"кол-во осмотров с использованием рентгена (мидк)\":null,\"платформа|номер\":\"98034374 \",\"получение реестра\":null,\"альтернативные станции\":null,\"тип контейнера\":\"40HC\",\"собственник контейнера\":\"ФИТ\",\"№ контейнера (префикс + номер)\":\"DNAU8011890\",\"номер пломбы\":\"F6388323\",\"код клиента\":\"TIAISR\",\"особые заявления и отметки отправителя\":\" \\\"Получение КТК и оплату терм. услуг осуществляет ООО «ФЕСКО Транс» ИНН 7702546450 по заявке ООО «ФИТ» для ООО \\\"\\\"ПРОМТКАНЬ\\\"\\\" г. Иваново Суздальская 16А контактное лицо XXX Николай Сергеевич, паспорт 24 \\nXXXXXX\\nт. 8-961-119-XX-XX\\n\\\"\\n
В личных кабинетах клиентов FESCO на портале my.fesco.com содержались сканы таможенных деклараций, счетов-фактур и актов с печатями. Все это можно было выгрузить в виде архивов, содержащих PDF-файлы. 🙈
Утром 22.05.2019 система DeviceLock Data Breach Intelligence обнаружила в открытом доступе сервер Elasticsearch с индексами:
graylog_20
graylog_21
graylog_18
graylog_19
graylog_24
graylog_22
graylog_17
graylog_23
На момент обнаружения суммарный размер этих индексов превышал 52 Гб. 👍
Анализ показал, что логи принадлежат специализированному программному продукту CyberLines (www.cyberlines.ru), а сам сервер Elasticsearch с большой долей вероятности содержит данные компании FESCO:
"settings": "{\"denoscription\":\"Киберлайнз\",\"url\":\"msk-sql04.hq.fesco.com\",\"user\":\"personal_area\",\"options\":{\"appName\":\"my.fesco.ru\",\"debug\":1,\"port\":1433,\"database\":\"Cyberlines\",\"requestTimeout\":45000},\"poolConfig\":{\"min\":2,\"max\":4,\"log\":false}}"
В 15:45 мы оповестили FESCO и компанию CyberLines о проблеме. Примерно в 16:10 сервер Elasticsearch «тихо» исчез из открытого доступа. 😂 Перед самым закрытием на сервере находился только один индекс: graylog_0, размером 651 Мб.
По данным Shodan, впервые данный Elasticsearch оказался в свободном доступе 05.03.2018. 🤦♂️
В логах системы содержалось (все данные – оценочные, дубли из подсчетов не удалялись, поэтому объем реальной утекшей информации скорее всего меньше):
🌵 более 400 тыс. записей, содержащих адреса электронной почты
🌵 более 160 тыс. записей, содержащих номера телефонов
🌵 более 1200 записей, содержащих пары логин/пароль (в текстовом виде) для портала my.fesco.com 🤦🏻♂️
🌵 несколько тысяч записей с паспортными данными
🌵 сотни тысяч записей с номерами инвойсов, заявок, отправлений и т.п. информацией
"track_uid\":1831289,\"заявка\":869837,\"менеджер\":\"Игумнова И.\",\"пункт отправления\":\"Шанхай\",\"пункт назначения\":\"Москва\",\"выход пункт отправления\":\"Владивосток (эксп.)\",\"выход пункт назначения\":\"Ховрино\",\"морской коносамент\":\"FCMV322453\",\"подход|транспорт|№/ наименование\":\"TIM-S.\",\"подход|транспорт|описание\":\"761\",\"таможенный режим\\\\вид сообщения\":\"ГТД (DDP)\",\"декларант\":\"Клиент\",\"дни хранения\":3,\"ткдрм\":null,\"кол-во взвешиваний\":null,\"кол-во таможенных досмотров\":null,\"кол-во осмотров с использованием рентгена (мидк)\":null,\"платформа|номер\":\"98034374 \",\"получение реестра\":null,\"альтернативные станции\":null,\"тип контейнера\":\"40HC\",\"собственник контейнера\":\"ФИТ\",\"№ контейнера (префикс + номер)\":\"DNAU8011890\",\"номер пломбы\":\"F6388323\",\"код клиента\":\"TIAISR\",\"особые заявления и отметки отправителя\":\" \\\"Получение КТК и оплату терм. услуг осуществляет ООО «ФЕСКО Транс» ИНН 7702546450 по заявке ООО «ФИТ» для ООО \\\"\\\"ПРОМТКАНЬ\\\"\\\" г. Иваново Суздальская 16А контактное лицо XXX Николай Сергеевич, паспорт 24 \\nXXXXXX\\nт. 8-961-119-XX-XX\\n\\\"\\n
В личных кабинетах клиентов FESCO на портале my.fesco.com содержались сканы таможенных деклараций, счетов-фактур и актов с печатями. Все это можно было выгрузить в виде архивов, содержащих PDF-файлы. 🙈
Киберпротект
Защита от утечки конфиденциальных данных - DLP-система Кибер Протего.
DLP-система Кибер Протего предотвращает утечку конфиденциальной информации, контролирует передачу данных и позволяет обнаруживать нарушения политики их хранения.
А вот так в открытом доступе находились логины и пароли (более 1200) к порталу my.fesco.com (реальные данные мы «забили» символами Х): 🙈🤦🏻♂️🤦♂️
"message":"cyberlines/user: login({context: 'jEErJ1Nzm-tU', usernameOrEmail: 'XXX@severtrans.net', password: 'XXXX'}) ok in 38 ms'","gl2_source_input":"5cd233972ab79c0001580ab2","args":"{\"context\":\"jEErJ1Nzm-tU\",\"usernameOrEmail\":\"XXX@severtrans.net\",\"password\":\"XXX \"}","duration":38,"node":"myfesco.prod.my","service":"cyberlines/user"
"message":"cyberlines/user: login({context: 'jEErJ1Nzm-tU', usernameOrEmail: 'XXX@severtrans.net', password: 'XXXX'}) ok in 38 ms'","gl2_source_input":"5cd233972ab79c0001580ab2","args":"{\"context\":\"jEErJ1Nzm-tU\",\"usernameOrEmail\":\"XXX@severtrans.net\",\"password\":\"XXX \"}","duration":38,"node":"myfesco.prod.my","service":"cyberlines/user"
В начале апреля обнаружили открытую MongoDB, принадлежащую крымскому санаторию «Юрмино» (www.yurmino.ru).
Тот самый случай, когда атрибуция никаких проблем не вызвала – база находилась на том же самом IP-адресе, что и веб-сервер санатория. 🤦♂️
База данных содержала:
🌵 1107 записей отдыхающих (ФИО, номер телефона, адрес электронной почты, даты проживания и т.п.)
🌵 6 внутренних пользователей ИС (имя, адрес электронной почты, хешированный пароль)
После нашего уведомления база была закрыта.
Тот самый случай, когда атрибуция никаких проблем не вызвала – база находилась на том же самом IP-адресе, что и веб-сервер санатория. 🤦♂️
База данных содержала:
🌵 1107 записей отдыхающих (ФИО, номер телефона, адрес электронной почты, даты проживания и т.п.)
🌵 6 внутренних пользователей ИС (имя, адрес электронной почты, хешированный пароль)
После нашего уведомления база была закрыта.
Запись нашего вчерашнего вебинара «РАЗВЕДКА УЯЗВИМОСТЕЙ ХРАНЕНИЯ ДАННЫХ, ИЛИ DEVICELOCK DATA BREACH INTELLIGENCE».
Вначале совсем немного про DeviceLock DLP, а потом уже про обнаружение открытых баз данных и небольшой разбор известных случаев (про все случаи писалось в этом канале): 👇
https://www.youtube.com/watch?v=t5ZE8NaS3Zc
Вначале совсем немного про DeviceLock DLP, а потом уже про обнаружение открытых баз данных и небольшой разбор известных случаев (про все случаи писалось в этом канале): 👇
https://www.youtube.com/watch?v=t5ZE8NaS3Zc
YouTube
ВЕБИНАР: РАЗВЕДКА УЯЗВИМОСТЕЙ ХРАНЕНИЯ ДАННЫХ, ИЛИ DEVICELOCK DATA BREACH INTELLIGENCE.
Расписание мероприятий: https://www.dialognauka.ru/press-center
Весной 2019 г. компания DeviceLock – российский производитель средств борьбы с утечками данных, анонсировала новый сервис - Разведку уязвимостей хранения данных, а также мониторинг мошеннических…
Весной 2019 г. компания DeviceLock – российский производитель средств борьбы с утечками данных, анонсировала новый сервис - Разведку уязвимостей хранения данных, а также мониторинг мошеннических…
В заброшенном здании в Балакове Саратовской области найдены мешки с документами (клиентские договора, анкеты на получение кредитов и решения по кредитным заявкам, копии паспортов, трудовых книжек и справок о доходах), оставленные сотрудниками одного из банков.
Большинство обнаруженных бумаг относятся к 2008 - 2009 годам.
Большинство обнаруженных бумаг относятся к 2008 - 2009 годам.
Как обычно позже напишем технические подробности инцидента. 🔥🔥🔥
Компания DeviceLock с помощью одного из своих сервисов обнаружила в открытом доступе базу данных клиентов IRG (входит в группу «Ланит», управляет сетями re:Store, Samsung, Sony Centre, Nike, Street Beat и др.).
База включала данные с ноября 2018 года, всего в ней было более 3 млн записей, содержащих email-адреса, более 7 млн записей, содержащих телефоны, а также более 21 тыс. пар логин—пароль к личным кабинетам покупателей магазинов Sony и Street Beat, включая дублирующиеся записи, то есть реальное количество данных меньше.
https://www.kommersant.ru/doc/3992303
Компания DeviceLock с помощью одного из своих сервисов обнаружила в открытом доступе базу данных клиентов IRG (входит в группу «Ланит», управляет сетями re:Store, Samsung, Sony Centre, Nike, Street Beat и др.).
База включала данные с ноября 2018 года, всего в ней было более 3 млн записей, содержащих email-адреса, более 7 млн записей, содержащих телефоны, а также более 21 тыс. пар логин—пароль к личным кабинетам покупателей магазинов Sony и Street Beat, включая дублирующиеся записи, то есть реальное количество данных меньше.
https://www.kommersant.ru/doc/3992303
Обещанный технический разбор утечки персональных данных клиентов Inventive Retail Group (IRG управляет сетями re:Store, Samsung, Sony Centre, Nike, Street Beat и др.). 🔥🔥🔥
Сразу обозначим, что речь идет именно об утечке данных, чтобы официально не заявляли представители IRG и аффилированных с ней компаний. Почему это утечка будет объяснено ниже. И подчеркнем, что пострадали данные не только клиентов магазинов Sony Centre и Street Beat, как пишут многие СМИ, но также и покупатели re:Store, Samsung, Nike и Lego.
04.06.2019 в 18:10 (МСК) DeviceLock Data Breach Intelligence обнаружил в свободном доступе сервер Elasticsearch с индексами:
graylog2_0
readme
unauth_text
http:
graylog2_1
На момент обнаружения суммарное количество записей в двух индексах (graylog2_0 и graylog2_1) составляло 28,670,513.
В graylog2_0 содержались старые логи (начиная с 16.11.2018), а в graylog2_1 – новые логи (начиная с марта 2019 и по 04.06.2019). До момента закрытия доступа к Elasticsearch, количество записей в graylog2_1 росло.
Мы оповестили IRG о проблеме в 18:25 и к 22:30 сервер «тихо» исчез из свободного доступа. На момент закрытия сервера количество записей в индексах graylog2_0 и graylog2_1 уже составляло 28,677,094. 😎
В логах содержалось (все данные – оценочные, дубли из подсчетов не удалялись, поэтому объем реальной утекшей информации скорее всего меньше):
🌵 более 3 млн. адресов электронной почты покупателей магазинов re:Store, Samsung, Street Beat и Lego
🌵 более 7 млн. телефонов покупателей магазинов re:Store, Sony, Nike, Street Beat и Lego
🌵 более 21 тыс. пар логин/пароль от личных кабинетов покупателей магазинов Sony и Street Beat.
🌵 большинство записей с телефонами и электронной почтой также содержали ФИО (часто латиницей) и номера карт лояльности.
Вот пример из лога, относящийся к клиенту магазина Nike (мы заменили чувствительные данные на символы «Х»):
"message": "{\"MESSAGE\":\"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Array\\n(\\n [contact[phone]] => +7985026XXXX\\n [contact[email]] => XXX@mail.ru\\n [contact[channel]] => \\n [contact[subnoscription]] => 0\\n)\\n[ДАННЫЕ GET] Array\\n(\\n [digital_id] => 27008290\\n [brand] => NIKE\\n)\\n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Object\\n(\\n [result] => success\\n [contact] => stdClass Object\\n (\\n [phone] => +7985026XXXX\\n [email] => XXX@mail.ru\\n [channel] => 0\\n [subnoscription] => 0\\n )\\n\\n)\\n\",\"DATE\":\"31.03.2019 12:52:51\"}",
А вот пример того, как в логах хранились логины и пароли от личных кабинетов покупателей на сайтах sc-store.ru и street-beat.ru:
"message":"{\"MESSAGE\":\"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ GET] Array\\n(\\n [digital_id] => 26725117\\n [brand]=> SONY\\n)\\n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] \",\"DATE\":\"22.04.2019 21:29:09\"}"
Какое-то время после закрытия доступа к Elasticsearch логины и пароли продолжали работать. Сейчас компания IRG заявляет, что они принудительно сменили пароли клиентов. Это хорошая новость. 😂
Однако, перейдем к совсем плохим новостям и объясним, почему это именно утечка персональных данных клиентов IRG.
Если внимательно присмотреться к индексам данного свободно доступного Elasticsearch, то можно в них заметить два имени: readme и unauth_text. Это характерный признак одного из самых популярных «вымогателей». 👍 Им поражено более 4 тыс. серверов Elasticsearch по всему миру.
Сразу обозначим, что речь идет именно об утечке данных, чтобы официально не заявляли представители IRG и аффилированных с ней компаний. Почему это утечка будет объяснено ниже. И подчеркнем, что пострадали данные не только клиентов магазинов Sony Centre и Street Beat, как пишут многие СМИ, но также и покупатели re:Store, Samsung, Nike и Lego.
04.06.2019 в 18:10 (МСК) DeviceLock Data Breach Intelligence обнаружил в свободном доступе сервер Elasticsearch с индексами:
graylog2_0
readme
unauth_text
http:
graylog2_1
На момент обнаружения суммарное количество записей в двух индексах (graylog2_0 и graylog2_1) составляло 28,670,513.
В graylog2_0 содержались старые логи (начиная с 16.11.2018), а в graylog2_1 – новые логи (начиная с марта 2019 и по 04.06.2019). До момента закрытия доступа к Elasticsearch, количество записей в graylog2_1 росло.
Мы оповестили IRG о проблеме в 18:25 и к 22:30 сервер «тихо» исчез из свободного доступа. На момент закрытия сервера количество записей в индексах graylog2_0 и graylog2_1 уже составляло 28,677,094. 😎
В логах содержалось (все данные – оценочные, дубли из подсчетов не удалялись, поэтому объем реальной утекшей информации скорее всего меньше):
🌵 более 3 млн. адресов электронной почты покупателей магазинов re:Store, Samsung, Street Beat и Lego
🌵 более 7 млн. телефонов покупателей магазинов re:Store, Sony, Nike, Street Beat и Lego
🌵 более 21 тыс. пар логин/пароль от личных кабинетов покупателей магазинов Sony и Street Beat.
🌵 большинство записей с телефонами и электронной почтой также содержали ФИО (часто латиницей) и номера карт лояльности.
Вот пример из лога, относящийся к клиенту магазина Nike (мы заменили чувствительные данные на символы «Х»):
"message": "{\"MESSAGE\":\"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Array\\n(\\n [contact[phone]] => +7985026XXXX\\n [contact[email]] => XXX@mail.ru\\n [contact[channel]] => \\n [contact[subnoscription]] => 0\\n)\\n[ДАННЫЕ GET] Array\\n(\\n [digital_id] => 27008290\\n [brand] => NIKE\\n)\\n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Object\\n(\\n [result] => success\\n [contact] => stdClass Object\\n (\\n [phone] => +7985026XXXX\\n [email] => XXX@mail.ru\\n [channel] => 0\\n [subnoscription] => 0\\n )\\n\\n)\\n\",\"DATE\":\"31.03.2019 12:52:51\"}",
А вот пример того, как в логах хранились логины и пароли от личных кабинетов покупателей на сайтах sc-store.ru и street-beat.ru:
"message":"{\"MESSAGE\":\"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ GET] Array\\n(\\n [digital_id] => 26725117\\n [brand]=> SONY\\n)\\n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] \",\"DATE\":\"22.04.2019 21:29:09\"}"
Какое-то время после закрытия доступа к Elasticsearch логины и пароли продолжали работать. Сейчас компания IRG заявляет, что они принудительно сменили пароли клиентов. Это хорошая новость. 😂
Однако, перейдем к совсем плохим новостям и объясним, почему это именно утечка персональных данных клиентов IRG.
Если внимательно присмотреться к индексам данного свободно доступного Elasticsearch, то можно в них заметить два имени: readme и unauth_text. Это характерный признак одного из самых популярных «вымогателей». 👍 Им поражено более 4 тыс. серверов Elasticsearch по всему миру.
Киберпротект
Защита от утечки конфиденциальных данных - DLP-система Кибер Протего.
DLP-система Кибер Протего предотвращает утечку конфиденциальной информации, контролирует передачу данных и позволяет обнаруживать нарушения политики их хранения.
Вот содержимое readme:
"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"
По данным поисковика Shodan сервер Elasticsearch с логами IRG находился в свободном доступе с 12.11.2018 (напомним, что первые записи в логах датированы 16.11.2018!). За это время к информации клиентов точно получал доступ скрипт-вымогатель и, если верить оставленному им сообщению, данные были скачены. 🤦♂️
Официальное заявление IRG можно почитать тут: https://inventive.ru/about/releases/1255/
"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"
По данным поисковика Shodan сервер Elasticsearch с логами IRG находился в свободном доступе с 12.11.2018 (напомним, что первые записи в логах датированы 16.11.2018!). За это время к информации клиентов точно получал доступ скрипт-вымогатель и, если верить оставленному им сообщению, данные были скачены. 🤦♂️
Официальное заявление IRG можно почитать тут: https://inventive.ru/about/releases/1255/
Многим не понятно, как мы установили принадлежность обнаруженного свободно доступного сервера Elasticsearch с персональными данными покупателей к компании Inventive Retail Group. 😄
На самом деле в логах ИС напрямую не содержалось линков на IRG или связанные с ними магазины. Никаких полных URL там также не содержалось. Были названия брендов (Nike, Samsung, Lego и пр.) и фактически все.
Однако, в поле gl2_remote_ip содержались IP-адреса 185.156.178.58 и 185.156.178.62, с DNS-именами srv2.inventive.ru и srv3.inventive.ru, а www.inventive.ru это официальный веб-сайт IRG. 😎
На самом деле в логах ИС напрямую не содержалось линков на IRG или связанные с ними магазины. Никаких полных URL там также не содержалось. Были названия брендов (Nike, Samsung, Lego и пр.) и фактически все.
Однако, в поле gl2_remote_ip содержались IP-адреса 185.156.178.58 и 185.156.178.62, с DNS-именами srv2.inventive.ru и srv3.inventive.ru, а www.inventive.ru это официальный веб-сайт IRG. 😎
Обнаружены две базы данных, содержащие персональные данные и банковскую информацию, предположительно клиентов Альфа-Банка. 😂
Базы свободно распространяются в интернете в формате Excel-файлов. 😎
В первом файле 504 записи, содержащих:
🌵 ФИО
🌵 год рождения
🌵 серия/номер паспорта/кем и когда выдан
🌵 домашний/рабочий/мобильный номер телефона
🌵 остаток на счете (суммы в диапазоне 130-160 тыс. руб.)
🌵 название отделения Альфа-Банка (например, «ККО "Краснодар-Магнолия"»)
🌵 дата (в промежутке 09.01.2018-09.01.2019).
Во втором файле 55397 записей, содержащих:
🌵 ФИО
🌵 Место работы
🌵 домашний/рабочий/мобильный номер телефона
🌵 Адрес проживания
Актуальность информации во втором файле не известна, предположительно 2014-2015 гг. (но это не точно). Никаких прямых ссылок, кроме названия файла («База Альфа Банк 55K (55389).xlsx») на Альфа-Банк в нем тоже нет.
Базы свободно распространяются в интернете в формате Excel-файлов. 😎
В первом файле 504 записи, содержащих:
🌵 ФИО
🌵 год рождения
🌵 серия/номер паспорта/кем и когда выдан
🌵 домашний/рабочий/мобильный номер телефона
🌵 остаток на счете (суммы в диапазоне 130-160 тыс. руб.)
🌵 название отделения Альфа-Банка (например, «ККО "Краснодар-Магнолия"»)
🌵 дата (в промежутке 09.01.2018-09.01.2019).
Во втором файле 55397 записей, содержащих:
🌵 ФИО
🌵 Место работы
🌵 домашний/рабочий/мобильный номер телефона
🌵 Адрес проживания
Актуальность информации во втором файле не известна, предположительно 2014-2015 гг. (но это не точно). Никаких прямых ссылок, кроме названия файла («База Альфа Банк 55K (55389).xlsx») на Альфа-Банк в нем тоже нет.
Forwarded from Лучшие IT-каналы
🔥 Подборка самых интересных каналов про IT, хакинг и безопасность.
CyberYozh - бесплатный курс по анонимности и безопасности в сети. Истории ошибок и арестов известных киберпреступников, тайные технологии защиты информации, ловушки для хакеров и многое другое.
@webware - хакинг от новичка до профи. Только свежая и эксклюзивная информация. Offensive, Defensive, Penetration test, CTF…
@vschannel - канал Дмитрия Момота, известного в сети под псевдонимом VektorT13. Он пишет про уникализацию, антидетекты, методики отслеживания, анти-фрод системы, отпечатки браузера, железа и операционной системы.
@SecLabNews - канал русскоязычного новостного портала SecurityLab.ru, оперативно публикующего информацию о последних новостях IT-безопасности в России и мире.
@exploitex - DDoS атаки и вирусы, обзоры хакерских девайсов и жучков, гайды по взлому и секреты анонимности в интернете.
CyberYozh - бесплатный курс по анонимности и безопасности в сети. Истории ошибок и арестов известных киберпреступников, тайные технологии защиты информации, ловушки для хакеров и многое другое.
@webware - хакинг от новичка до профи. Только свежая и эксклюзивная информация. Offensive, Defensive, Penetration test, CTF…
@vschannel - канал Дмитрия Момота, известного в сети под псевдонимом VektorT13. Он пишет про уникализацию, антидетекты, методики отслеживания, анти-фрод системы, отпечатки браузера, железа и операционной системы.
@SecLabNews - канал русскоязычного новостного портала SecurityLab.ru, оперативно публикующего информацию о последних новостях IT-безопасности в России и мире.
@exploitex - DDoS атаки и вирусы, обзоры хакерских девайсов и жучков, гайды по взлому и секреты анонимности в интернете.
Про это мы писали в пятницу (https://news.1rj.ru/str/dataleak/1092). 😎
Данные клиентов ОТП-банка, Альфа-банка и ХКФ-банка оказались в открытом доступе. Утечка суммарно затрагивает интересы примерно 900 тыс. россиян, чьи имена, телефоны, паспорта и место работы теперь при желании может узнать каждый. Базы были выложены в конце мая, данные в них собирались несколько лет назад, но существенная часть информации сохраняет актуальность.
Две утечки данных о клиентах Альфа-банка обнаружила в пятницу DeviceLock. В одной из баз содержатся данные о более чем 55 тыс. клиентов, включая их ФИО, телефоны (мобильный, домашний и рабочий), адрес проживания и место работы. В DeviceLock осторожно датируют ее 2014–2015 годами. Вторая база содержит всего 504 записи, но она интересна тем, что датируется 2018–2019 годами, а помимо ФИО и телефонов содержит такие данные, как год рождения, паспортные данные, обслуживающее отделение Альфа-банка, а также остаток на счете, ограниченный диапазоном 130–160 тыс. руб.
https://www.kommersant.ru/doc/3997757
Данные клиентов ОТП-банка, Альфа-банка и ХКФ-банка оказались в открытом доступе. Утечка суммарно затрагивает интересы примерно 900 тыс. россиян, чьи имена, телефоны, паспорта и место работы теперь при желании может узнать каждый. Базы были выложены в конце мая, данные в них собирались несколько лет назад, но существенная часть информации сохраняет актуальность.
Две утечки данных о клиентах Альфа-банка обнаружила в пятницу DeviceLock. В одной из баз содержатся данные о более чем 55 тыс. клиентов, включая их ФИО, телефоны (мобильный, домашний и рабочий), адрес проживания и место работы. В DeviceLock осторожно датируют ее 2014–2015 годами. Вторая база содержит всего 504 записи, но она интересна тем, что датируется 2018–2019 годами, а помимо ФИО и телефонов содержит такие данные, как год рождения, паспортные данные, обслуживающее отделение Альфа-банка, а также остаток на счете, ограниченный диапазоном 130–160 тыс. руб.
https://www.kommersant.ru/doc/3997757
Telegram
Утечки информации
Обнаружены две базы данных, содержащие персональные данные и банковскую информацию, предположительно клиентов Альфа-Банка. 😂
Базы свободно распространяются в интернете в формате Excel-файлов. 😎
В первом файле 504 записи, содержащих:
🌵 ФИО
🌵 год рождения…
Базы свободно распространяются в интернете в формате Excel-файлов. 😎
В первом файле 504 записи, содержащих:
🌵 ФИО
🌵 год рождения…
Ситуация с банковскими базами, про которые мы написали в пятницу (https://news.1rj.ru/str/dataleak/1092) приобретает отчетливые формы истерики. Вот, например, Роскомнадзор:
Роскомнадзор анализирует ситуацию с утечкой данных 900 тысяч клиентов "Альфа Банка", "ХКФ Банка" и "ОТП Банка", если будут основания, то обратится в Генпрокуратуру, говорится в сообщении пресс-службы ведомства, поступившем в "Интерфакс".
"Мы взяли у издания "Коммерсантъ" ссылки на эти базы и всю необходимую фактуру, в данный момент анализируем ситуацию. На первый взгляд, она выглядит вопиющей - конечно, нахождение такого количества личных данных, в таком объеме, создает большие риски нарушения прав граждан", - отмечается в сообщении.
По нашему мнению, бороться надо не со следствием (размещением «сливов» на форумах), а с причиной (воровством данных из компаний и банков). Но до тех пор, пока в службах безопасности правят «вахтеры», предпочитающие наблюдать за утечками и расследовать уже случившиеся инциденты, а не предотвращать их с помощью превентивных блокировок, мы все будем наблюдать «сливы» наших данных. Кого в наше время останавливал РКН своими блокировками? 😂
Роскомнадзор анализирует ситуацию с утечкой данных 900 тысяч клиентов "Альфа Банка", "ХКФ Банка" и "ОТП Банка", если будут основания, то обратится в Генпрокуратуру, говорится в сообщении пресс-службы ведомства, поступившем в "Интерфакс".
"Мы взяли у издания "Коммерсантъ" ссылки на эти базы и всю необходимую фактуру, в данный момент анализируем ситуацию. На первый взгляд, она выглядит вопиющей - конечно, нахождение такого количества личных данных, в таком объеме, создает большие риски нарушения прав граждан", - отмечается в сообщении.
По нашему мнению, бороться надо не со следствием (размещением «сливов» на форумах), а с причиной (воровством данных из компаний и банков). Но до тех пор, пока в службах безопасности правят «вахтеры», предпочитающие наблюдать за утечками и расследовать уже случившиеся инциденты, а не предотвращать их с помощью превентивных блокировок, мы все будем наблюдать «сливы» наших данных. Кого в наше время останавливал РКН своими блокировками? 😂
Telegram
Утечки информации
Обнаружены две базы данных, содержащие персональные данные и банковскую информацию, предположительно клиентов Альфа-Банка. 😂
Базы свободно распространяются в интернете в формате Excel-файлов. 😎
В первом файле 504 записи, содержащих:
🌵 ФИО
🌵 год рождения…
Базы свободно распространяются в интернете в формате Excel-файлов. 😎
В первом файле 504 записи, содержащих:
🌵 ФИО
🌵 год рождения…
В конце апреля наша автоматизированная система DeviceLock Data Breach Intelligence обнаружила в открытом доступе базу данных MongoDB, принадлежащую Белгородскому государственному аграрному университету имени В.Я. Горина (bsaa.edu.ru).
В тот же день, 26-го апреля, в 13:05 (МСК) мы оповестили владельца сервера о проблеме, но из свободного доступа базу убрали только 11-го мая. По данным Shodan, эта база, не требующая аутентификации для подключения, впервые «засветилась» 31.10.2018. 🤦🏻♂️🤦♂️🙈
В базе содержалось 1.2 млн. записей общим размером более 470 Мб.
В числе свободно доступных записей были:
🌵 12346 пользователей (фамилия/имя, иностранный язык, признак студент или преподаватель, научная степень, должность, кафедра и т.п.)
🌵 6663 платежных документа (номер договора, ФИО, дата оплаты, сумма, адрес студента)
🌵 тысячи записей с расписанием занятий, отметками успеваемости студентов и многое другое.
{
"_id" : "7bb72a93-fb52-4bcb-9813-e9035470bc21",
"principalId" : "b267dcaa-3002-11e7-b073-000c29774d01",
"subject" : "Договор на оказание образовательных услуг",
"text" : "ST00012|Name=л/с 20266X43750 ФГБОУ ВО \"Белгородский ГАУ\"|PersonalAcc=40501810014032000002|BankName=Отделение Белгород г. Белгород|BIC=Отделение Белгород г. Белгород|CorrespAcc=|PayeeINN=31020054 |KPP=31020054 |OKTMO=|CBC=00000000000000000130|TechCode=001|Sum=2700000|Purpose=За обучение|Contract=1379|DocDate= 22-08-2017|ChildFio=ХХХ Артур ХХХ|LastName=ХХХ|FirstName=Артур|MiddleName=ХХХ|payerAddress=ХХХ",
"qrCodeFileName" : "e4986b6c-7686-4df6-bab8-399a63431fc1.png",
"isPaid" : false,
"planDate" : ISODate("2017-08-19T21:00:00.000+0000"),
"_class" : "org.university.domain.entities.Payment"
}
(мы заменили чувствительные данные на символы «Х»)
В тот же день, 26-го апреля, в 13:05 (МСК) мы оповестили владельца сервера о проблеме, но из свободного доступа базу убрали только 11-го мая. По данным Shodan, эта база, не требующая аутентификации для подключения, впервые «засветилась» 31.10.2018. 🤦🏻♂️🤦♂️🙈
В базе содержалось 1.2 млн. записей общим размером более 470 Мб.
В числе свободно доступных записей были:
🌵 12346 пользователей (фамилия/имя, иностранный язык, признак студент или преподаватель, научная степень, должность, кафедра и т.п.)
🌵 6663 платежных документа (номер договора, ФИО, дата оплаты, сумма, адрес студента)
🌵 тысячи записей с расписанием занятий, отметками успеваемости студентов и многое другое.
{
"_id" : "7bb72a93-fb52-4bcb-9813-e9035470bc21",
"principalId" : "b267dcaa-3002-11e7-b073-000c29774d01",
"subject" : "Договор на оказание образовательных услуг",
"text" : "ST00012|Name=л/с 20266X43750 ФГБОУ ВО \"Белгородский ГАУ\"|PersonalAcc=40501810014032000002|BankName=Отделение Белгород г. Белгород|BIC=Отделение Белгород г. Белгород|CorrespAcc=|PayeeINN=31020054 |KPP=31020054 |OKTMO=|CBC=00000000000000000130|TechCode=001|Sum=2700000|Purpose=За обучение|Contract=1379|DocDate= 22-08-2017|ChildFio=ХХХ Артур ХХХ|LastName=ХХХ|FirstName=Артур|MiddleName=ХХХ|payerAddress=ХХХ",
"qrCodeFileName" : "e4986b6c-7686-4df6-bab8-399a63431fc1.png",
"isPaid" : false,
"planDate" : ISODate("2017-08-19T21:00:00.000+0000"),
"_class" : "org.university.domain.entities.Payment"
}
(мы заменили чувствительные данные на символы «Х»)
Киберпротект
Защита от утечки конфиденциальных данных - DLP-система Кибер Протего.
DLP-система Кибер Протего предотвращает утечку конфиденциальной информации, контролирует передачу данных и позволяет обнаруживать нарушения политики их хранения.
И еще про утечки из ВУЗов…
В Мурманской области обнаружили свалку дипломов и личных дел «Международного института бизнес-образования» (ранее «Мурманский Гуманитарный Институт»), который был лишен аккредитации в 2016 году.
Центральный аппарат прокуратуры Мурманской области дал поручение прокурору Кольского района провести проверку по факту обнаружения документов.
В Мурманской области обнаружили свалку дипломов и личных дел «Международного института бизнес-образования» (ранее «Мурманский Гуманитарный Институт»), который был лишен аккредитации в 2016 году.
Центральный аппарат прокуратуры Мурманской области дал поручение прокурору Кольского района провести проверку по факту обнаружения документов.
Forwarded from DeviceLock RU
На прошлой неделе издание Коммерсантъ сообщило, что «базы клиентов Street Beat и Sony Centre оказались в открытом доступе», но на самом деле все гораздо хуже, чем написано в статье.
https://habr.com/ru/post/455792/
https://habr.com/ru/post/455792/
Хабр
Утечка данных покупателей магазинов re:Store, Samsung, Sony Centre, Nike, LEGO и Street Beat
На прошлой неделе издание Коммерсантъ сообщило, что «базы клиентов Street Beat и Sony Centre оказались в открытом доступе», но на самом деле все гораздо хуже, че...
В свободном доступе появились данные по транзакциям пользователей приложения Venmo. Venmo (принадлежит PayPal) это сервис социальных платежей, который используют миллионы людей для совершения платежей и перечисления средств друзьям и родственникам.
Данные были скачены из базы MongoDB, явно оставленной Venmo без аутентификации. 🙈
Доступно 7,076,585 записей в файле формата BSON, общим размером 10,3 Гб. Все платежи относятся к периоду с июля 2018 по февраль 2019.
По каждой транзакции доступна следующая информация:
🌵 логин пользователя, его имя и фамилия
🌵 размер платежа
🌵 адрес электронной почты
🌵 номер телефона
🌵 ссылка на фотографию из профиля
🌵 дата
Следует отметить, что данная база — это не компиляция из публичных транзакций, доступных каждому по ссылке https://venmo.com/api/v5/public, в ней содержатся не публичные транзакции пользователей Venmo.
Данные были скачены из базы MongoDB, явно оставленной Venmo без аутентификации. 🙈
Доступно 7,076,585 записей в файле формата BSON, общим размером 10,3 Гб. Все платежи относятся к периоду с июля 2018 по февраль 2019.
По каждой транзакции доступна следующая информация:
🌵 логин пользователя, его имя и фамилия
🌵 размер платежа
🌵 адрес электронной почты
🌵 номер телефона
🌵 ссылка на фотографию из профиля
🌵 дата
Следует отметить, что данная база — это не компиляция из публичных транзакций, доступных каждому по ссылке https://venmo.com/api/v5/public, в ней содержатся не публичные транзакции пользователей Venmo.