В открытом доступе был обнаружен кластер из четырех серверов Elasticsearch, предназначенный для хранения логов IoT-платформы «InOne», разрабатываемой компанией HeadPoint (http://head-point.ru/ru/solution/iot/).


Из логов можно было получить:

- ссылки на видеофайлы (само видео расположено на серверах Amazon) с записями камер-наблюдения (например, из ЦСКА Арены)

- тексты СМС-оповещений (например, «В зоне Выход судей 1 в локации ЦСКА Арена/Подтрибунное пространство произошло событие Движение в запрещённой зоне»)

- номера телефонов для отправки СМС-оповещений.


В данный момент все 4 сервера закрыты.

Больше двух дней потребовалось, чтобы закрыть доступ к последнему (5-му) открытому серверу ИС «Сетевой Город. Образование» (про это тут: https://news.1rj.ru/str/dataleak/931).

Данный сервер, помимо всего прочего, содержал фотографии учеников (на остальных 4-х серверах фотографий в документах не было).

Коммерсантъ пишет:

Данные клиентов банков из черного списка ЦБ отказников по антиотмывочному законодательству оказались в интернете. Речь идет примерно о 120 тыс. граждан и компаний.

Большую часть базы составляют физлица и индивидуальные предприниматели (ИП), часть — юридические лица. Про физических лиц в базе содержится информация об их ФИО, дате рождения, серии и номере паспорта. Про ИП — ФИО и ИНН, про компании — наименование, ИНН, ОГРН.

Записи датируются периодом с 26 июня 2017 года по 6 декабря 2017 года.

https://www.kommersant.ru/doc/3940264

Компания ИРТех связалась с нами и дала разъяснение относительно ситуации с 5 «школьными» серверами:

«Сетевой Город. Образование" (СГО) - это тиражируемое и отчуждаемое решение. Экземпляры этой системы находятся под управлением муниципальных или региональных органов управления образования и (иногда) на серверах отдельных школ. Компания "ИРТех" НЕ управляет серверами заказчиков и НЕ имеет доступа к ним. Настройки безопасности, и в частности настройка брэндмауэра, - находятся в зоне ответственности администратора заказчика. Во всех перечисленных 5 случаях на площадках "СГО" был выключен файрволл.

Упоминание бренда «Сетевой Город. Образование» в контексте нарушения безопасности админиистраторами серверов вводит в заблуждение некоторых читателей, заставляя усомниться в качестве конкретного программного продукта. СГО работает в 25 регионах, общее количество экземпляров её установки - более 200. СГО имеет все необходимые уровни защиты, включая защиту от НСД. Соответствующий модуль имеет сертификат ФСТЭК.»

В 13:40 (МСК) оповестили компанию Navigine (nvgn.ru, navigine.com) о том, что нашелся их сервер с общедоступной базой данных Elasticsearch. В данный момент сервер уже недоступен.

Navigine является поставщиком технологий навигации внутри и вне помещений. В общедостопных индексах Elasticsearch находились логи доступа к различным серверам сервиса: rio.net.ru, api.navigine.com, rzd-api.navigine.com, locators.navigine.com.

В логах можно было найти вызовы API для определения местоположения, IP-адреса, API-ключи сервиса и т.п.

Хакеры из группировки THack3forU взломали (ну как взломали – нашли, слили и уничтожили) очередную открытую базу данных MongoDB.

На этот раз с данными Лабораторной Информационной Системы «Ариадна» (www.bregis.ru).

Мы обнаруживали базы данных этой ИС на IP-адресах 195.16.123.158 и 195.16.123.159 еще в феврале. На данный момент эти базы закрыты.

Хакеры заявляют, что они не пользуются поисковиком Shodan и приводят доказательства, что IP-адреса 193.124.177.13 в нем нет. Мы подтверждаем, что его там нет, но данная база прекрасно ищется в другом поисковике – Binaryedge (см. скриншот).

Данные (7 Гб json-файлов) киберпреступники снова (как и в случае с базой вызовов скорой помощи, которую мы нашли и про которую написали первыми https://news.1rj.ru/str/dataleak/916) выложили в публичный доступ.

Провели беглый анализ данных, украденных киберпреступниками из открытой базы ИС «Ариадна. Мы не претендуем на 100% достоверность этого анализа, но…

Пока не видно ничего критичного. Информация по пациентам похожа на набор тестовых данных. 😎

Всего в таблице orders обнаружено 142 записи пациентов. Более половины из них — это явный мусор или пустые записи. Остальное выглядит похожим на данные реальных людей, но объём утекшей информации ничтожен (даже если предположить, что это данные реальных людей). 👍

Например, во всей этой «утечке» встретился только один единственный адрес электронной почты и тот оказался: 1@m.ru. Хотя поля email в базе присутствуют. Телефонные номера тоже все пустые. 🙈

Пока наш предварительный вердикт по этой «утечке» - шлак. 😂

Для "интересующихся" статистикой использования интернета в различных организациях, есть несколько полезных «дорков» для Google:

allinurl:"/squid-reports/"
allinnoscript:"SARG reports"

Среди прочего мусора, в выдачу попадут отчеты для Squid (Squid Analysis Report Generator), чаще всего имеющие вид:

[URL/IP ADDRESS]/squid-reports/

Специалисты из компании «Инфосекьюрити» провели анализ данных, украденных хакерами из базы скорой помощи (про это тут https://news.1rj.ru/str/dataleak/916).

С выводами солидарны… 👍

Приводим полный текст со страницы www.facebook.com/263287141145127/posts/443263199814186:

На этой неделе одной из самых громких новостей в сфере ИБ стало обнаружение в сети открытой базы данных подмосковной скорой помощи.

Впервые информация о ней была опубликована 7 апреля в Telegram-канале хакерской группы THack3forU. В сообщении говорилось о взломе базы данных MongoDB, содержащей сведения о 400 тысячах пациентов, обратившихся за экстренной помощью.

Злоумышленники выгрузили данные, а получившийся файл объемом порядка 17 гигабайт выложили на одном из файлообменных сервисов.

Специалисты «Инфосекьюрити» проанализировали громкую утечку: размещенный злоумышленниками файл действительно содержит персональные данные лиц, обращавшихся за помощью. Помимо имен в нем присутствуют сведения о возрасте пациентов, их контактные телефоны, адреса, причины вызова скорой и комментарии врачей.

Вот только из заявленных 400 000 записей уникальными являются всего 235 (!), включая несколько тестовых строк, не содержащих сведений о пациентах.

Содержимое базы охватывает данные за три дня: 26 марта, 2 и 4 апреля 2019 года, причем 231 запись была внесена в базу в течение одного дня, а из четырех оставшихся лишь 3 записи, датированные 4 апреля, содержат персональные данные.

Все остальные сведения, содержащиеся в размещенной злоумышленниками базе, представляют собой ни что иное, как многочисленные копии этих самых 235 записей. Это позволяет предположить, что утекшая база данных эксплуатировалась в тестовом режиме, например, в процессе настройки или интеграции информационной системы.

Таким образом, информация о крупномасштабной утечке персональных данных россиян в данном случае является явным преувеличением.

А тем временем файл с теми самыми, нормализованными 235 записями из базы скорых, уже находится в свободном доступе…

Выслали нотификацию правительству Москвы (mos.ru) относительно открытой базы Elasticsearch с данными проекта «Московское долголетие» (www.mos.ru/city/projects/dolgoletie/).

Похоже на то, что проект переехал на другой сервер в середине февраля этого года, а про эту базу данных все забыли и оставили ее в открытом доступе.

В базе содержатся данные (более 75 тыс. строк) вплоть до 15-го февраля 2019 года включительно:

- ФИО жителей Москвы
- логин в систему
- должность
- тип активности (например, «Английский язык», «Изобразительное искусство», «Скандинавская ходьба» и т.п.)
- место (название учреждения, адрес и GPS-координаты) занятий
- и другие не очень критичные данные…

Читательница канала под ником Fairy Wow прислала нам информацию по обнаруженной 11 апреля открытой базе данных MongoDB. 👇

В открытом доступе находилась база сервиса «Кивитакси» (kiwitaxi.ru) размером около 100 Мб, с данными о поездках по региону Сочи/Адлер и прилегающим городам.

Первые записи в базе датировались 2017 годом. Последняя запись - 10 апреля 2019.

Сообщение сервису «Кивитакси» было отправлено 11-го в 14:26 и около 17:30 база была закрыта.

В базе содержалось:

✅ информация по водителям (имя, идентификатор Telegram, город, номер телефона, модель/марка/номер автомобиля, когда присоединился к сервису, в штате или нет).

✅ информация по клиентам (имя, дата поездки, номер телефона, маршрут поездки). Для некоторых клиентов указана компания, которая им вызывает такси, номер рейса самолета, которым прилетает/улетает пассажир.

✅ рейтинги водителей, стоимости поездок, идентификаторы такси и т.п.

Ассоциация выпускников программы повышения квалификации академии ФБР США - FBI National Academy Associates (FBI NAA) сообщает о том, что хакеры взломали вебсайты трех филиалов ассоциации и получили доступ к персональным данным ее членов. 🔥

На сайте ассоциации указано, что ее членами являются 17 тыс. сотрудников правоохранительных органов из 50 штатов США и 170 стран. Всего через программу повышения квалификации (FBINA Program) прошло более 50 тыс. человек.

В данный момент полученные хакерами из группировки PokémonGo Team (twitter.com/PokemonGoICU) файлы свободно доступны. Всего распространяется три архива:

✅ ncfbinaa.org.zip (104 Мб)
✅ floridafbinaa.starchapter.com.zip (55 Мб)
✅ fbinaadc.org.zip (45 Мб)

Как понятно из названий архивов, данные получены из филиалов ассоциации в Северной Каролине, Флориде и округе Колумбия, соответственно.

Интерес в архивах представляют CSV-файлы, в которых содержится персональная информация членов ассоциации: полные имена, адреса электронной почты (многие на доменах .fbi.gov и .gov), места работы, номера рабочих и домашних телефонов, адреса проживания и т.п.

Самый «свежий» файл называется 2019_april_10_active_members_2019.csv и содержит данные 934 членов филиала ассоциации в Северной Каролине.

Файл из Флориды содержит 801 запись, а из округа Колумбия - 209 записей.

Кроме данных действующих членов ассоциации, в архивах также содержится информация и по бывшим членам и другим (видимо оставлявшим заявки на вступление в ассоциацию) выпускникам программы повышения квалификации академии ФБР.

Данные членов филиала ассоциации выпускников программы повышения квалификации академии ФБР в Северной Каролине.

13-го апреля мы обнаружили открытую базу данных Elasticsearch, содержащую данные проекта Правительства Москвы - «Московское долголетие» (www.mos.ru/city/projects/dolgoletie/). 🤦‍♂️

В базе находилось более 75108 строк с информацией об участниках программы за период с 05.10.2018 до 15.02.2019 года включительно (из них 7160 строк за 2019 год):

✅ ФИО жителей Москвы
✅ логин в систему
✅ должность
✅ тип активности (например, «Английский язык», «Изобразительное искусство», «Скандинавская ходьба» и т.п.)
✅ место (название учреждения, адрес и GPS-координаты) занятий
✅ разбиение по группам активности (список ФИО с привязкой к группе)


В 22:36 (МСК) отослали оповещение в адрес техподдержки проекта (https://news.1rj.ru/str/dataleak/950) и на следующий день около 9:30 индекс (activity) с данными исчез из базы (сам сервер при этом продолжал быть доступным). К 11:00 сервер с базой данных исчез из открытого доступа. 😂 Сегодня в 12:20 был получен ответ от техподдержки: "Благодарим Вас за предоставленную информацию. Информация передана соответствующим специалистам и руководству."

По косвенным признакам было сделано предположение, что с середины февраля 2019 г. данный проект «переехал» на другой сервер, а обнаруженный сервер с данными был просто забыт.

Первый раз Shodan зафиксировал этот Elasticsearch в открытом доступе - 24.02.2019.

Информация из открытой базы данных проекта «Московское долголетие»

Информация об участниках программы «Московское долголетие»

Наверное, все знают истории про то, как один человек оставил заявку на кредитную карту (ипотеку, потребкредит и т.п.), а потом ему начинают названивать из других банков с подобными предложениями? 😂

Вот, например, «Бинбанк» собирал данные желающих открыть карту «Эlixir», а «умельцы» нашли способ как эти данные утащить прямо из заполненных форм на сайте банка.

Выяснилось, что заполненные формы с персональными данными доступны по URL вида:

http://app.binbank.ru/g/Nxxxxxxx

причем первый символ всегда цифра 2 или 7, остальные – латинские буквы, что значительно упростило задачу перебора.

Пример найденных перебором URL:

1️⃣ http://app.binbank.ru/g/2EmEqkcz
2️⃣ http://app.binbank.ru/g/7EAEaAEu

Среди прочего в формах содержится:

✅ ФИО
✅ паспортные данные (серия, номер, кем и когда выдан)
✅ телефон
✅ адрес проживания
✅ и т.п.

По нашим данным, уже нашли около 1000 форм. 🔥

Похоже, что «Бинбанк» прикрыл формы, через которые злоумышленники вытаскивали персональные данные граждан, оставлявших заявки на открытие карт «Эlixir» (https://news.1rj.ru/str/dataleak/957).

В понедельник компания DeviceLock сообщила о выявленной утечке данных клиентов-физлиц, подававших в свое время заявки на получение кредитной карты Бинбанка «Эlixir».

По заявителям доступны ФИО, паспортные данные, телефон и адрес проживания. Эти данные не находятся в открытом доступе, однако извлечь их можно методом подбора буквенно-цифровых сочетаний, поясняется в сообщении компании.

Как пояснил “Ъ” основатель DeviceLock Ашот Оганесян, скорее всего, имела место уязвимость API-механизма, через который сайт и мобильные приложения получают доступ к внутренней системе банка для передачи заявок на выпуск карт «Эlixir». По его словам, в настоящее время известно, что уже найдено более 1000 анкет.

https://www.kommersant.ru/doc/3945472

В конце марта была обнаружена открытая база данных Elasticsearch, с данными заказов интернет-магазина компании «БСК» - поставщика профессиональных продуктов строительного назначения (bsc.im).

В базе содержалось более 10 тыс. записей:

✅ имена покупателей
✅ адреса электронной почты
✅ адреса доставки (или самовывоза) товара
✅ суммы заказов (и стоимость доставки)
✅ типы платежей (наличные, карта)
✅ заказанные товары


В ответ на наше уведомление пришел ответ:

Большое спасибо. Недавно пришлось экстренно эвакуироваться из Яндекс облака и в спешке забыли закрыть порт.