Канал @In4security сообщает, что в свободном доступе оказался огромный массив внутренней документации ООО «Медицинско-правовая компания», работающей под брендом «ПризываНет.ру».

Цитата: 👇

В архивах содержится, по сути, вся жизнь этой медицинской организации начиная с 2015 и заканчивая серединой 2020 года, в том числе бухгалтерия, персональные данные клиентов (включая сканы их медицинских документов, адреса, телефоны, ссылки на страницы в соцсетях и профили в мессенджерах, а также сведения об их банковских картах), списки сотрудников, внутренние регламенты и многое другое.

С учетом того, что одна из ссылок ведет на «пробник», вполне возможно, что эти данные уже выставлены или вскоре будут выставлены на продажу, просто продавец сделал для себя такую онлайн-памятку со ссылками.

В архивах имеются сканы медицинских документов, датированные 2015 годом.

База клиентов prizyvanet.ru

Файл с данными клиентов содержит более 65 тысяч строк.
@In4security

Помимо данных клиентов (ФИО, номер телефона, почтовый адрес, адрес эл. почты) в утекшей базе «ПризываНет.ру» содержится также и информация по платежам (первые 6 и последние 4 цифры номеров банковских карт, месяц и год истечения карт, коды авторизации, суммы платежей).

Кроме того, там есть и данные сотрудников компании: ФИО, адреса эл. почты, телефоны, логины в CRM-систему, страницы ВКонтакте и идентификаторы Telegram.

Местный житель города Челябинск осуждён за разглашение личной тайны абонентов мобильного оператора.

Осужденный, являясь сотрудником одного из операторов сотовой связи и имея доступ к сведениям ограниченного порядка, распространил данные, составляющие личную тайну абонентов, пользующихся услугами оператора.

Районный суд признал его виновным в совершении преступления, предусмотренного ч. 2 ст. 137 УК РФ («нарушение неприкосновенности частной жизни, совершенное с использованием своего служебного положения»), и приговорил его к денежному штрафу.


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут.

Обработали почти 1,9 млн. паролей из утечки базы файлообменного сервиса GigaSize.com (ныне закрыт). Об утечке стало известно в октябре 2019 г.

Только около 42% пар логин/пароль оказались уникальными и ранее не встречались в других утечках.

Vinny Troia, основатель компании «Night Lion Security» и эксперт по вопросам “русского вмешательства в выборы президента США” 🤣, обещает раскрыть (в середине июля) личности участников хакерской группировки «Shiny Hunters». 😱

«Shiny Hunters» "слили" базы данных mathway.com, Tokopedia.com, chronicle.com и даже исходные коды Microsoft.

Именно Vinny Troia в июне 2018 обнаружил утечку базы британской консалтинговой компании «Cambridge Analytica», после чего и разгорелся скандал, связанный с приватностью данных пользователей Facebook.

С замиранием сердца и трепетом мы ждём очередных разоблачений Vinny Troia. 😂

На одном из форумов выставили на продажу SQL-дамп базы данных покупателей и заказов интернет-магазина пневматического оружия pnevmat24.ru.

По словам продавца, в базе:

🌵 ФИО
🌵 адрес эл. почты
🌵 телефон
🌵 адрес доставки
🌵 IP-адрес

Изначально база продавалась за 30 тыс. рублей, но видимо в отсутствии покупателей цена была снижена до 20 тыс. руб.

База датируется апрелем 2020 г.

Уважаемые читатели, по традиции мы предлагаем вам дайджест наиболее значимых утечек прошедшего месяца! 🔥

Очередной выпуск ежемесячного дайджеста наиболее интересных публикаций в июне 2020 г.

И снова выплыла база данных российских граждан, находящихся за границей в ожидании эвакуации на родину. 👇

На этот раз злоумышленники взломали официальный твиттер Ситуацинно-кризисного центра МИД РФ и разместили там рекламу этой базы данных. 🤦🏼‍♂️

Напомним, что журналисты РБК попытались связаться с гражданами, чьи данные попали на скриншоты, опубликованные продавцом на форуме. Ни один, из 34 номеров, не ответил. Более того, гудки были только у небольшого числа номеров, все остальные - недействительные. 😎

Злоумышленники взломали официальный твиттер Ситуацинно-кризисного центра МИД РФ и разместили там рекламу этой (скорее всего фейковой) базы данных.

В Изобильненском городском округе Ставропольского края возбуждено уголовное дело в отношении специалиста офиса одной из компаний оператора сотовой связи.

По данным следствия, 5 октября 2019 года подозреваемая, имея доступ к информационной биллинговой системе, без ведома и согласия абонента и иных законных к тому оснований, по просьбе обратившегося к ней мужчины, передала ему интересующие сведения.

Своими действиями подозреваемая нарушила конституционное право граждан на тайну телефонных переговоров и иных сообщений.


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут.

В открытый доступ был выложен полный PostgreSQL-дамп пользователей крупнейшей индонезийской компании электронной коммерции Tokopedia.com. 🔥 До этого, в начале мая, был выложен кусок этого дампа с 15 млн. строк.

В полном дампе 91,173,990 строк, размер - 27 Гб. Он продавался за $5000 на даркнет форуме «Empire Market».

Формат и состав полного дампа полностью совпадает с тем, что было выложено ранее. Фактически, выложенный до этого кусок был просто “отрезан сверху” от полного дампа. 👍

В конце июня хакерская группировка KelvinSecTeam выставила на продажу SQL-дамп, содержащий данные британских клиентов BMW, Mercedes-Benz и других автомобильных брендов.

Дамп был оставлен в открытом доступе одной из компаний, оказывающей услуги колл-центра.

Продается 384,319 строк, содержащих:

🌵 имя/фамилия
🌵 мобильный и домашний телефоны
🌵 адрес эл. почты
🌵 адрес
🌵 номер автомобиля
🌵 название дилера

В конце апреля этого года система DLBI обнаружила свободно доступный сервер, с открытой директорией, в которой находились результаты медицинских анализов лаборатории «ДиаЛаб» (dialab.ru). 🏥

Результаты анализов хранились в PDF-файлах. Всего более 7 тыс. файлов, датированных 01.10.2019 - 26.04.2020. 😱

Кроме того, в этой открытой директории находился лог в формате XML, также содержащий персональные данные пациентов (около 3,4 тыс. записей):

🌵 ФИО
🌵 телефон
🌵 дата рождения
🌵 адрес эл. почты
🌵 результаты анализов

Точно установить принадлежность сервера нам не удалось (возможно этот сервер принадлежит какому-то другому медицинскому центру, который пользуется услугами лаборатории «ДиаЛаб»), но мы уведомили «ДиаЛаб» о проблеме. К сожалению никакой реакции не последовало и в открытом доступе до сих пор находятся более 5 тыс. PDF-файлов с данными анализов и лог. 🤦‍♂️

В Костроме завершили расследование уголовного дела в отношении 22-летнего местного жителя, который ради карьерного роста оформлял "левые" сим-карты.

По версии следствия, один из новых сотрудников местного офиса крупного сотового оператора, спустя месяц после трудоустройства, решил улучшить показатели и обеспечить себе хорошую премию. Для этого он в период с августа по ноябрь 2019 года ежемесячно оформлял сим-карты на паспорта ничего не подозревающих граждан, ранее обращавшихся в офис оператора. Всего таким образом было выдано свыше 20 номеров.

В отношении злоумышленника было возбуждено уголовное дело по признакам преступления, предусмотренного ч.3 ст. 272 (неправомерный доступ к компьютерной информации).

В ходе расследования подозреваемый полностью признал свою вину и раскаялся в содеянном. В настоящее время материалы уголовного дела переданы в суд для рассмотрения по существу.


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут.

Помните совсем недавно в СМИ был большой шум по поводу того, что доступ к московским камерам видеонаблюдения (единому центру хранения данных - ЕЦХД) можно купить на черном рынке?

Пошумели и забыли. 🤷‍♂️ А доступы продаются практически в открытую. Теперь даже со смартфона можно просматривать камеры, удобно. 😱

Цена такого аккаунта около 30 тыс. рублей. 🤦‍♂️

В Челябинской области два сотрудника оператора сотовой связи предоставили за деньги третьим лицам доступ к переписке, телефонным разговорам и сообщениям более 30 абонентов.

Фактически эти сотрудники оператора занимались “мобильным пробивом”, являясь нанятыми инсайдерами (про вербовку сотрудников сотовых операторов и банков мы писали тут).

Суд приговорили их к денежному штрафу в размере шести и семи тысяч рублей за распространение персональных данных абонентов, признав виновными по ч. 2 ст. 138 УК РФ (нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений, совершенное с использованием своего служебного положения).


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут.

Приходится комментировать очередную «пиар-утечку» - СМИ пишут про базу с хешами паспортов (серия/номер) граждан, зарегистрировавшихся для участия в электронном голосовании по поправкам в Конституцию.

В базе (файл db.sqlite размером 233 Мб) содержались хеши (SHA-256), взятые от серий и номеров паспортов. Для восстановления надо просто перебрать все значения в регионе от 0000000000 до 9999999999 (4 цифры под серию и 6 под номер паспорта). Элементарная по сложности задача для hashcat и подобных программ. С учетом современных вычислительных мощностей, можно даже не оптимизировать и не ограничивать перебор, несмотря на то, что известно, как формируется серия паспорта.

Но даже это не видится значимой проблемой, можно было вообще серии и номера паспортов хранить в открытом виде. Серия/номер паспорта без каких-либо других данных (ФИО, год рождения, адрес, телефон и т.п.) не представляет из себя ничего, кроме простого набора цифр, сформированного по известной “формуле”.

Никакого смысла в такой базе отдельно нет.

Единственное применение этим данным, это обогащение других баз, содержащих персональные данные (включая паспортные), признаком «регистрировался для участия в электронном голосовании».

Достаточно уникальный случай – осужден “мобильный пробивщик” из числа сотрудников ФСБ! 😱

Первый западный окружной военный суд признал виновной по ч. 1 ст. 283 УК РФ (разглашение сведений, составляющих государственную тайну, доверенных по службе, которые стали достоянием постороннего лица) капитана УФСБ по Петербургу и Ленинградской области Анну Соловьеву.

Cуд установил, что Соловьева с августа 2015 года по август 2016-го запрашивала в оперативно-технической службе регистрационные данные абонентов операторов связи, а также сведения об их соединениях и местоположении, после чего передавала информацию гражданскому лицу, дело в отношении которого выделено в отдельное производство.

Соловьевой было назначено наказание в виде трех лет лишения свободы условно с лишением права занимать должности, связанные с осуществлением функций представителя власти и допуском к государственной тайне на срок два года. Женщина свою вину не признала.

На один из форумов уже выложили базу паспортов (серия/номер) граждан, зарегистрировавшихся для участия в электронном голосовании по поправкам в Конституцию! Конверт в Cronos в свободном доступе. 🤣