Уважаемые читатели, по традиции в конце месяца напоминаем вам про подписку на дайджест наиболее значимых утечек месяца! 🔥

Если нет времени читать все публикации на канале или захотите по итогам месяца освежить память - рекомендуем подписаться. Никакого спама. 😎

Подписаться на дайджест можно по этой ссылке: 👇
https://www.devicelock.com/ru/subscribe.html

Не хотели писать про эту утечку до тех пор, пока сами не посмотрим на утекшие данные, но видимо придется. 😎

Компания Imperva допустила утечку данных пользователей своего CDN-сервиса «Imperva Cloud Web Application Firewall» («Incapsula») для защиты от DDoS-атак.

Среди утекших данных: адреса электронной почты, хэшированные (с солью) пароли, API-токены и SSL-сертификаты.

Пострадали только пользователи, зарегистрировавшиеся до 15 сентября 2017 года. Такая точность в определении группы пострадавших пользователей может говорить о том, что злоумышленники заполучили какой-то старый бэкап или взломали старую базу данных.

Компания оповестила пользователей об инциденте и заставила их принудительно сменить пароли.

В самом начале лета DeviceLock Data Breach Intelligence обнаружил открытый сервер с Elasticsearch, содержащий несколько индексов с персональными данными водителей (около 9 тыс. записей):

🌵 ФИО
🌵 полные паспортные данные (серия, номер, кем и когда выдан)
🌵 номер водительского удостоверения
🌵 телефон

"lastname": "ХХХ",
"firstname": "ХХХ",
"patronymic": "Владимирович",
"passportNumber": "8708ХХХХХХ",
"fullinfo": "ХХХХ ХХХ Владимирович/8708ХХХХХХ/Отделением УФМС России по ХХХ/ХХ.ХХ.2009/1119ХХХХХХ/Тел: +7-(912)-ХХХХХХХ"

(реальные данные скрыты нами)

Кроме того, в индексах находились автомобильные номера, номера договоров на перевозку, названия юридических лиц, города откуда и куда доставляются грузы и т.п.

"destinationAddress": "Шахты",
"sourceAddress": "Санкт-Петербург",
"planData": "2019-07-03T03:00:00",
"geo": "ЮГ",
"driver": "ХХХ ХХХ Александрович",
"driverPhone": "7918ХХХХХХХ",
"carrier": "ВСК",
"carrierContact": "8(879-34) ХХХХХ",
"stateNumber": "ВХХХКАХХ",
"all": "Шахты Санкт-Петербург ЮГ ХХХ ХХХ Александрович ВСК 7918ХХХХХХХ 8(879-34) ХХХХХ ВХХХКАХХ"

Установить владельца мы тогда не смогли и написали хостеру (Яндекс), на чьей площадке располагался данный сервер. Через день доступ к серверу был закрыт. 👍

Сервер впервые попал в свободный доступ 31.05.2019. Однако история на этом не закончилась. 👇

Позже мы обнаружили другой Elasticsearch-сервер (свободно доступный сразу по двум IP-адресам), содержащий точно такие же индексы с точно такими же данными, чуть большего размера (около 10 тыс. записей с персональными данными водителей). 🙈

На этот раз нам удалось установить предполагаемого владельца сервера - «ЛОРУС Эс Си Эм» (lorus-scm.com). На сайте этой компании написано: “один из ведущих 4PL провайдеров логистических услуг для крупных промышленных предприятий и ритейла, эксперт в области производственной логистики.”

К сожалению, на наше оповещение компания никак не отреагировала и сервер с персональными данным до сих пор находится в свободном доступе (с 10.06.2019). 🤦‍♂️🤦🏻‍♂️


В мае мы обнаружили утечку из крупнейшей российской транспортно-логистической компании FESCO: https://news.1rj.ru/str/dataleak/1081

В свободном доступе появились персональные данные 46-ти сотрудников ООО «Сёрчинформ» (searchinform.ru) – производителя средств защиты от утечек информации. 🔥

Среди опубликованных данных:

🌵 ФИО
🌵 дата рождения
🌵 ИНН
🌵 серия и номер паспорта

Данные изначально были выложены в текстовом виде на pastebin.com, а сейчас уже появился и распространяется конверт в Cronos.

По нашей информации данные реальные и относятся к 2017-2018 году. Скорее всего это часть бухгалтерской отчетности для ФНС. 🙈


Совсем недавно мы обнаружили персональные данные 703 тыс. сотрудников РЖД: https://news.1rj.ru/str/dataleak/1231

22-го июля DeviceLock Data Breach Intelligence обнаружил открытый сервер с Elasticsearch, доступный по двум IP-адресам, с индексом «crm», в котором содержались персональные данные 458 человек:

🌵 ФИО
🌵 дата рождения
🌵 место рождения
🌵 полные паспортные данные (серия, номер, кем и когда выдан, код подразделения)
🌵 ИНН
🌵 телефон
🌵 адрес электронной почты
🌵 гражданство
🌵 второе гражданство

"displayName": "XXX XXX Михайлович",
"lastName": "XXX",
"firstName": "XXX",
"secondName": "Михайлович",
"birthDate": "1978-XX-XX,
"birthPlace": "москва",
"identityDocuments": [
{
"issuedDate": "2003-XX-XX",
"issuingAuthority": "Калининским РОВД Тверской области",
"number": "XXX",
"series": "2804",
"issuingAuthorityCode": "XXX-XXX"
}
],
"contacts": [
{
"phone": "+7(905)XXX",
"email": "XXX@voz.ru"
}
],
"citizenship": "rf",
"INN": "78XXX",
"otherCitizenship": null

(реальные данные скрыты нами)

Было установлено, что сервер принадлежит сколковскому проекту «Farzoom» (farzoom.com), занимающемуся автоматизацией банковских бизнес-процессов.

В тот же день мы оповестили владельца, но сервер был убран из свободного доступа только спустя 6 дней. Стоит отметить, что впервые этот сервер «засветился» 29.12.2018. 🤦‍♂️🤦🏻‍♂️

На специализированных форумах появилась база данных предположительно клиентов банка «Открытие».

В распространяемом файле 1205 записей, содержащих:

🌵 ФИО
🌵 остаток на счете
🌵 дату
🌵 название отделения банка «Открытие» (например, «ДО "Кутузовский проспект" МРД»)
🌵 дату рождения
🌵 контактные данные (телефоны и иногда адрес электронной почты)

Судя по всему, это «тестовый» кусок базы, которая в данный момент активно продается на черном рынке под названием «Вкладчики Открытия» по цене 25 рублей за одну запись.


Недавно мы выпустили новый отчет "Цены черного рынка на базы данных российских банков (лето 2019)": 👇

https://www.devicelock.com/ru/blog/tseny-chernogo-rynka-na-rossijskie-personalnye-dannye-bazy-dannyh.html

1-го сентября обнаружили открытый Elasticsearch-сервер компании «Ростелеком», содержащий данные портала ndd.rostelecom.ru (документы, заявки на доступ к инфраструктуре и т.п.):

Веб-портал предназначен для публикации в сети Интернет сведений об объектах инфраструктуры ПАО «Ростелеком» и реестра заявлений на предоставление доступа к инфраструктуре, направляемых различными компаниями в ПАО «Ростелеком»


Несмотря на то, что данные портала являются открытыми, в индексе «users» были найдены учетные записи пользователей, в том числе хэшированные пароли (bcrypt с солью): 👇

"firstname": "Наталья",
"lastname": "XXX",
"email": "XXX@kirov.volga.rt.ru",
"password_digest": "$2a$10$XXX",
"role": "operator",
"state": "actual",
"blocked": false,
"region_id": 54,
"fullname": "Наталья XXX",
"region": {
"id": 54,
"name": "Кировская область",
"iso_code": "KIR",
"code": "43",
"shortname": "Кировская",
}
(реальные данные скрыты нами)


Этот сервер попал в открытый доступ утром 31.08.2019. Мы оповестили службу безопасности «Ростелеком» и через 2 дня сервер был убран из свободного доступа. 👍

Исследователь Sanyam Jain обнаружил в свободном доступе открытую базу данных MongoDB, в которой находилось 419 млн. записей, содержащих идентификаторы социальной сети Facebook и связанные с ними номера телефонов.

В нескольких коллекциях были данные 133 млн. пользователей из США, более 50 млн. пользователей Фейсбука из Вьетнама и около 18 млн. из Великобритании. 🔥

Эта MongoDB появилась в открытом доступе 25 августа 2019 года.

Новая, полезная настройка приватности в Telegram, которая позволит избежать "пробива" вашего аккаунта методом перебора телефонных номеров. 👍

Исследователи из vpnMentor обнаружили открытый Elasticsearch-сервер с электронной почтой южнокорейской компании DK-Lok (dklok.com), производящей трубы, клапаны, фитинги и т.п.

Общий размер индексов, в которых находится свободно доступная переписка компании, превышает 22 Гб.

В переписке находится в том числе информация о российских клиентах и их заказах. С Россией (в т.ч. с Газпромом) так или иначе связано более 5 тыс. электронных писем, начиная с 2017 года и по сегодняшний день, а всего в базе более 2,2 млн. электронных писем. 🔥

Мы обнаружили в этой переписке 13 писем от команды vpnMentor с оповещениями и предупреждениями об обнаруженной проблеме: 🤣

"mail_body": "Hello, I'm Lisa, from the vpnMentor Research Team - Nice to e-meet you. I wanted to let you know about a critical security breach we found at DKLOK. Would you mind putting me in touch with the CISO or someone on the security team, for a responsible disclosure of the breach? Thanks for your help, Lisa ",
"subject": "URGENT: Responsible disclosure of a critical security issue",
"mail_to": "dkmarketing@dklok.com",
"mail_date": "2019-08-21 19:49:58",
"mail_from": "Research vpnMentor <research@vpnmentor.com>",

Однако, сервер до сих пор находится в свободном доступе. 🤦‍♂️

Впервые этот сервер «засветился» 18.06.2017, но потом пропал из открытого доступа вплоть до 09.04.2019. 🤦🏻‍♂️

В открытой почтовой базе южнокорейской DK-Lok, встречаются заказы для (и от) Газпрома. 🙈

Немного продолжим тему с открытой базой южнокорейской компании «DK-Lok» (https://news.1rj.ru/str/dataleak/1249), в которой обнаружились данные по заказам Газпрома.

Мы выяснили, что индексы Elasticsearch, в которых содержатся сообщения электронной почты, принадлежат системе документооборота и коллективной работы «BizBox Alpha» (http://www.douzone.com/product/groupware/gw01_biz_05), производства южнокорейской компании «Douzone».

В настоящий момент в свободном доступе находится еще как минимум 8 серверов с индексами системы «BizBox Alpha», подобных «DK-Lok» и все они расположены в Южной Корее.

Компанию «Douzone» уведомили о проблемах в дефолтных настройках ее ПО еще в конце декабря 2018 года. 🤦‍♂️🤦🏻‍♂️

31.07 DeviceLock Data Breach Intelligence выявила свободно доступный Elasticsearch-сервер с индексами, в которых находились данные агентства недвижимости «NSK-НЕДВИЖИМОСТЬ» (nsk-agent.ru).

К сожалению, на наше оповещение никто не отреагировал и сервер до сих пор находится в открытом доступе. 🤦‍♂️

В индексах содержатся данные (ФИО, телефон) владельцев квартир и агентов недвижимости, подробная информация по квартирам и т.п.

Все это очень похоже на выгрузку из какой-то CRM-системы.

Неизвестные взломали сайт отзывов о банках и финансовых учреждениях kreditovik.ru и выложили в открытый доступ его базу (5011 строк):

🌵 название банка
🌵 тип кредитного продукта
🌵 город
🌵 ФИО
🌵 адрес электронной почты
🌵 срок кредита
🌵 год кредита
🌵 сумма кредита
🌵 условия кредита
🌵 сумма погашения
🌵 отзыв
🌵 IP-адрес
🌵 дата отзыва

В данный момент сайт kreditovik.ru выдает «FUCK 0FF». 🤣

Немного о потребителях услуг «пробива». 😎

В Тюмени направлено в Центральный районный суд дело частного детектива, который незаконно собирал данные о частной жизни граждан.

В ноябре 2018 года владелец одного из салонов красоты обратился к частному детективу с заказом расследовать кражу сотрудниками салона базы данных клиентов.

Частный детектив незаконным способом получил информацию о личной жизни одной из бывших сотрудниц салона, а также членов ее семьи. Детектив передал заказчику сведения о месте регистрации, номерах мобильных телефонов, о действующих и ранее выданных паспортах (тут явно идет речь о пробиве по АС «Роспаспорт»), о движении денежных средств по банковским счетам. За свою работу он получил более 120 тысяч рублей.

42-летнего частного детектива обвиняют по статьям «Нарушение неприкосновенности частной жизни» и «Превышение полномочий частным детективом».


Недавно мы публиковали обзор цен российского черного рынка на пробив персональных данных.

А также обзор случаев задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными в России.

В открытый доступ попали списки пассажиров двух авиакомпаний: малазийской Malindo Air и тайской Thai Lion Air. Обе авиакомпании связаны с индонезийской компанией Indonesian Lion Air Group и судя по формату данных используют одну и ту же ИТ-систему. 🔥🔥🔥

По пассажирам каждой авиакомпании доступно:

🌵 номер бронирования
🌵 имя/фамилия
🌵 дата рождения
🌵 полный почтовый адрес
🌵 данные по паспорту (номер, кем и когда выдан и т.п.)
🌵 адрес электронной почты
🌵 номер телефона

Для Malindo Air доступно 13,8 млн строк (из них 25,078 относятся к России).

Для Thai Lion Air доступно 32,18 млн строк (из них 66,429 относятся к России).

Мы провели проверку достоверности данных и можем подтвердить, что в открытом доступе находятся персональные данные реальных пассажиров, летавших этими авиакомпаниями. 👍

Точную актуальность обнаруженных данных мы пока определить не можем, но предположительно это 2017-2018 г. 😎

База пассажиров авиакомпании Thai Lion Air - 32,18 млн строк (66,429 из России).

База пассажиров авиакомпании Malindo Air - 13,8 млн строк (25,078 из России).

Очередной открытый Elasticsearch-сервер был обнаружен нами в начале августа. На сервере находились индексы системы «graylog» - высокопроизводительной платформы с открытым исходным кодом, предназначенной для управления логами.

Напомним, что именно через эту систему в свое время утекли персональные данные и пароли клиентов «Inventive Retail Group» (управляет сетями re:Store, Samsung, Sony Centre, Nike, Street Beat и др.): https://news.1rj.ru/str/dataleak/1089 🤣😂

На этот раз сервер с логами принадлежал системе «POSIFLORA» (posiflora.com) - приложению для автоматизации точек продаж цветочного бизнеса.


В логах находилась информация пользователей этой системы – розничных бизнесов по продажам цветов, в том числе:

🌵 данные по сотрудникам: ФИО, телефон, адрес электронной почты, зарплата, логин и числовой ПИН-код (видимо для доступа в систему через мобильное приложение), права доступа (роли) пользователя.

{\"type\":\"workers\",\"id\":\"946a0b5f-dc1c-42ad-879d-94e6591b3f9c\",\"attributes\":{\"firstName\":\"XXX",\"lastName\":\"XXX",\"middleName\":XXX,\"countryCode\":\"7\",\"phone\":\"XXX\",\"email\":XXX,\"salary\":XXX,\"salaryPeriod\":\"month\"}

\"status\":\"on\",\"login\":\"admins\",\"pin\":\"09XX\"

(реальные данные скрыты нами)

🌵 данные по заказам покупателей: дата, сумма, ФИО, адрес доставки, телефон.


Для оценки размера утекших данных мы сделали поиск по номерам телефонов только в одном (не самом крупном) индексе с 229,338 строками – в результате было найдено чуть менее 10 тыс. строк (разумеется тут большой процент повторов, которые мы не отсекали).

После нашего оповещения в течении 2-х дней доступ к серверу был закрыт, и мы даже получили ответ, что бывает крайне редко. 👍

Цитата ТАСС: "Роскомнадзор отреагировал на жалобы на мессенджер Telegram, где якобы были распространены персональные данные россиян, заявив, что установить факт неправомерного использования персональных данных не представляется возможным, так как файл с ними был удален." 🤦‍♂️🤦🏻‍♂️

Речь идет о том самом файле с персональными данными граждан, который «всплыл» в чате сторонников Навального и из-за информации о котором цензоры-модераторы Telegram удалили пост в нашем канале: https://news.1rj.ru/str/dataleak/1206 🤷‍♂️

Но самое смешное тут не поведение Telegram’а удаляющего неугодные посты, не содержащие никаких персональных данных и даже ссылок на них, а очередное проявление «профессионализма» Роскомнадзора. 🤣

Данный файл (3198 строк с персональными данными) не просто свободно доступен на множестве специализированных форумах, но и выложен в формате Cronos, будучи предварительно очищен от мусора и нормализован. 😱

Обугленные анкеты на выпуск и получение платежных карт с персональными данными клиентов банка «ВТБ» обнаружили местные жители под эстакадой в районе Мосфильмовской улицы в Москве. 🙈