«Коммерсантъ» пишет:

Данные 5 млн учащихся и сотрудников онлайн-школы английского языка Skyeng выставлены на продажу в интернете за 40 тыс. руб.

В Skyeng не подтвердили факт утечки или взлома. Нет оснований считать, что указанная в сообщении база имеет отношение к Skyeng, заявил управляющий партнер этой платформы Александр Ларьяновский.

Корреспондент “Ъ” обзвонил некоторых клиентов, чьи данные оказались в бесплатном «пробнике» базы, и подтвердил подлинность данных.

Считаем необходимым сделать пару уточнений к этой статье:

1️⃣ Базу с 5 млн. строк не продают за 40 тыс. рублей. За 40 тыс. рублей продают выборку из этой базы с 270 тыс. строками, содержащими данные российских клиентов. Вся база целиком стоит около 80 тыс. рублей.

2️⃣ Это никакой не инсайдер, кто "вынес" базу, как пишут некоторые эксперты. Это дамп MongoDB, что прекрасно видно по формату данных ("_id" : ObjectId).

P.S. Кстати, эту базу обнаружили ребята с канала @in4security 👍 Очень крутой канал, который мы читаем и иногда цитируем.

Канал @In4security сообщает, что в свободном доступе оказался огромный массив внутренней документации ООО «Медицинско-правовая компания», работающей под брендом «ПризываНет.ру».

Цитата: 👇

В архивах содержится, по сути, вся жизнь этой медицинской организации начиная с 2015 и заканчивая серединой 2020 года, в том числе бухгалтерия, персональные данные клиентов (включая сканы их медицинских документов, адреса, телефоны, ссылки на страницы в соцсетях и профили в мессенджерах, а также сведения об их банковских картах), списки сотрудников, внутренние регламенты и многое другое.

С учетом того, что одна из ссылок ведет на «пробник», вполне возможно, что эти данные уже выставлены или вскоре будут выставлены на продажу, просто продавец сделал для себя такую онлайн-памятку со ссылками.

В архивах имеются сканы медицинских документов, датированные 2015 годом.

База клиентов prizyvanet.ru

Файл с данными клиентов содержит более 65 тысяч строк.
@In4security

Помимо данных клиентов (ФИО, номер телефона, почтовый адрес, адрес эл. почты) в утекшей базе «ПризываНет.ру» содержится также и информация по платежам (первые 6 и последние 4 цифры номеров банковских карт, месяц и год истечения карт, коды авторизации, суммы платежей).

Кроме того, там есть и данные сотрудников компании: ФИО, адреса эл. почты, телефоны, логины в CRM-систему, страницы ВКонтакте и идентификаторы Telegram.

Местный житель города Челябинск осуждён за разглашение личной тайны абонентов мобильного оператора.

Осужденный, являясь сотрудником одного из операторов сотовой связи и имея доступ к сведениям ограниченного порядка, распространил данные, составляющие личную тайну абонентов, пользующихся услугами оператора.

Районный суд признал его виновным в совершении преступления, предусмотренного ч. 2 ст. 137 УК РФ («нарушение неприкосновенности частной жизни, совершенное с использованием своего служебного положения»), и приговорил его к денежному штрафу.


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут.

Обработали почти 1,9 млн. паролей из утечки базы файлообменного сервиса GigaSize.com (ныне закрыт). Об утечке стало известно в октябре 2019 г.

Только около 42% пар логин/пароль оказались уникальными и ранее не встречались в других утечках.

Vinny Troia, основатель компании «Night Lion Security» и эксперт по вопросам “русского вмешательства в выборы президента США” 🤣, обещает раскрыть (в середине июля) личности участников хакерской группировки «Shiny Hunters». 😱

«Shiny Hunters» "слили" базы данных mathway.com, Tokopedia.com, chronicle.com и даже исходные коды Microsoft.

Именно Vinny Troia в июне 2018 обнаружил утечку базы британской консалтинговой компании «Cambridge Analytica», после чего и разгорелся скандал, связанный с приватностью данных пользователей Facebook.

С замиранием сердца и трепетом мы ждём очередных разоблачений Vinny Troia. 😂

На одном из форумов выставили на продажу SQL-дамп базы данных покупателей и заказов интернет-магазина пневматического оружия pnevmat24.ru.

По словам продавца, в базе:

🌵 ФИО
🌵 адрес эл. почты
🌵 телефон
🌵 адрес доставки
🌵 IP-адрес

Изначально база продавалась за 30 тыс. рублей, но видимо в отсутствии покупателей цена была снижена до 20 тыс. руб.

База датируется апрелем 2020 г.

Уважаемые читатели, по традиции мы предлагаем вам дайджест наиболее значимых утечек прошедшего месяца! 🔥

Очередной выпуск ежемесячного дайджеста наиболее интересных публикаций в июне 2020 г.

И снова выплыла база данных российских граждан, находящихся за границей в ожидании эвакуации на родину. 👇

На этот раз злоумышленники взломали официальный твиттер Ситуацинно-кризисного центра МИД РФ и разместили там рекламу этой базы данных. 🤦🏼‍♂️

Напомним, что журналисты РБК попытались связаться с гражданами, чьи данные попали на скриншоты, опубликованные продавцом на форуме. Ни один, из 34 номеров, не ответил. Более того, гудки были только у небольшого числа номеров, все остальные - недействительные. 😎

Злоумышленники взломали официальный твиттер Ситуацинно-кризисного центра МИД РФ и разместили там рекламу этой (скорее всего фейковой) базы данных.

В Изобильненском городском округе Ставропольского края возбуждено уголовное дело в отношении специалиста офиса одной из компаний оператора сотовой связи.

По данным следствия, 5 октября 2019 года подозреваемая, имея доступ к информационной биллинговой системе, без ведома и согласия абонента и иных законных к тому оснований, по просьбе обратившегося к ней мужчины, передала ему интересующие сведения.

Своими действиями подозреваемая нарушила конституционное право граждан на тайну телефонных переговоров и иных сообщений.


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут.

В открытый доступ был выложен полный PostgreSQL-дамп пользователей крупнейшей индонезийской компании электронной коммерции Tokopedia.com. 🔥 До этого, в начале мая, был выложен кусок этого дампа с 15 млн. строк.

В полном дампе 91,173,990 строк, размер - 27 Гб. Он продавался за $5000 на даркнет форуме «Empire Market».

Формат и состав полного дампа полностью совпадает с тем, что было выложено ранее. Фактически, выложенный до этого кусок был просто “отрезан сверху” от полного дампа. 👍

В конце июня хакерская группировка KelvinSecTeam выставила на продажу SQL-дамп, содержащий данные британских клиентов BMW, Mercedes-Benz и других автомобильных брендов.

Дамп был оставлен в открытом доступе одной из компаний, оказывающей услуги колл-центра.

Продается 384,319 строк, содержащих:

🌵 имя/фамилия
🌵 мобильный и домашний телефоны
🌵 адрес эл. почты
🌵 адрес
🌵 номер автомобиля
🌵 название дилера

В конце апреля этого года система DLBI обнаружила свободно доступный сервер, с открытой директорией, в которой находились результаты медицинских анализов лаборатории «ДиаЛаб» (dialab.ru). 🏥

Результаты анализов хранились в PDF-файлах. Всего более 7 тыс. файлов, датированных 01.10.2019 - 26.04.2020. 😱

Кроме того, в этой открытой директории находился лог в формате XML, также содержащий персональные данные пациентов (около 3,4 тыс. записей):

🌵 ФИО
🌵 телефон
🌵 дата рождения
🌵 адрес эл. почты
🌵 результаты анализов

Точно установить принадлежность сервера нам не удалось (возможно этот сервер принадлежит какому-то другому медицинскому центру, который пользуется услугами лаборатории «ДиаЛаб»), но мы уведомили «ДиаЛаб» о проблеме. К сожалению никакой реакции не последовало и в открытом доступе до сих пор находятся более 5 тыс. PDF-файлов с данными анализов и лог. 🤦‍♂️

В Костроме завершили расследование уголовного дела в отношении 22-летнего местного жителя, который ради карьерного роста оформлял "левые" сим-карты.

По версии следствия, один из новых сотрудников местного офиса крупного сотового оператора, спустя месяц после трудоустройства, решил улучшить показатели и обеспечить себе хорошую премию. Для этого он в период с августа по ноябрь 2019 года ежемесячно оформлял сим-карты на паспорта ничего не подозревающих граждан, ранее обращавшихся в офис оператора. Всего таким образом было выдано свыше 20 номеров.

В отношении злоумышленника было возбуждено уголовное дело по признакам преступления, предусмотренного ч.3 ст. 272 (неправомерный доступ к компьютерной информации).

В ходе расследования подозреваемый полностью признал свою вину и раскаялся в содеянном. В настоящее время материалы уголовного дела переданы в суд для рассмотрения по существу.


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут.

Помните совсем недавно в СМИ был большой шум по поводу того, что доступ к московским камерам видеонаблюдения (единому центру хранения данных - ЕЦХД) можно купить на черном рынке?

Пошумели и забыли. 🤷‍♂️ А доступы продаются практически в открытую. Теперь даже со смартфона можно просматривать камеры, удобно. 😱

Цена такого аккаунта около 30 тыс. рублей. 🤦‍♂️

В Челябинской области два сотрудника оператора сотовой связи предоставили за деньги третьим лицам доступ к переписке, телефонным разговорам и сообщениям более 30 абонентов.

Фактически эти сотрудники оператора занимались “мобильным пробивом”, являясь нанятыми инсайдерами (про вербовку сотрудников сотовых операторов и банков мы писали тут).

Суд приговорили их к денежному штрафу в размере шести и семи тысяч рублей за распространение персональных данных абонентов, признав виновными по ч. 2 ст. 138 УК РФ (нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений, совершенное с использованием своего служебного положения).


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут.

Приходится комментировать очередную «пиар-утечку» - СМИ пишут про базу с хешами паспортов (серия/номер) граждан, зарегистрировавшихся для участия в электронном голосовании по поправкам в Конституцию.

В базе (файл db.sqlite размером 233 Мб) содержались хеши (SHA-256), взятые от серий и номеров паспортов. Для восстановления надо просто перебрать все значения в регионе от 0000000000 до 9999999999 (4 цифры под серию и 6 под номер паспорта). Элементарная по сложности задача для hashcat и подобных программ. С учетом современных вычислительных мощностей, можно даже не оптимизировать и не ограничивать перебор, несмотря на то, что известно, как формируется серия паспорта.

Но даже это не видится значимой проблемой, можно было вообще серии и номера паспортов хранить в открытом виде. Серия/номер паспорта без каких-либо других данных (ФИО, год рождения, адрес, телефон и т.п.) не представляет из себя ничего, кроме простого набора цифр, сформированного по известной “формуле”.

Никакого смысла в такой базе отдельно нет.

Единственное применение этим данным, это обогащение других баз, содержащих персональные данные (включая паспортные), признаком «регистрировался для участия в электронном голосовании».

Достаточно уникальный случай – осужден “мобильный пробивщик” из числа сотрудников ФСБ! 😱

Первый западный окружной военный суд признал виновной по ч. 1 ст. 283 УК РФ (разглашение сведений, составляющих государственную тайну, доверенных по службе, которые стали достоянием постороннего лица) капитана УФСБ по Петербургу и Ленинградской области Анну Соловьеву.

Cуд установил, что Соловьева с августа 2015 года по август 2016-го запрашивала в оперативно-технической службе регистрационные данные абонентов операторов связи, а также сведения об их соединениях и местоположении, после чего передавала информацию гражданскому лицу, дело в отношении которого выделено в отдельное производство.

Соловьевой было назначено наказание в виде трех лет лишения свободы условно с лишением права занимать должности, связанные с осуществлением функций представителя власти и допуском к государственной тайне на срок два года. Женщина свою вину не признала.