Вчера вечером система DeviceLock Data Breach Intelligence (подробнее тут: https://www.devicelock.com/ru/press/devicelock-sozdal-ii-dlya-razvedki-uyazvimostej-hraneniya-dannyh.html) обнаружила свободно доступный сервер Elasticsearch с логами поисковой системы Maxwell Expert (www.maxwell.expert), отображающей актуальное состояние цен у поставщиков топлива по всей России.
Сама поисковая система по ценам на нефтепродукты – бесплатная, но регулярная рассылка цен по СМС и в Telegram стоит 990 рублей в месяц.
Именно логины и текстовые пароли от личных кабинетов платных пользователей этой системы и были найдены в логах, хранящихся в многочисленных индексах с именами начинающимися на «registration-» (например, registration-2019.05.25): 🤦♂️👇
message": "Request starting HTTP/1.1 GET http://registration.maxwell.expert/registration/sign-up-confirm?email=XXX%40gmail.com&password=YYY&token=ZZZ
Всего в открытом доступе находилось более 500 пар логин/пароль. 🙈
Сервис был оповещен о проблеме 26.05.2019 в 21:58 (МСК) и сегодня в промежутке 10:30-15:00 исчез из свободного доступа.
Впервые Shodan зафиксировал Elasticseach на этом сервере 27.01.2019.
Сама поисковая система по ценам на нефтепродукты – бесплатная, но регулярная рассылка цен по СМС и в Telegram стоит 990 рублей в месяц.
Именно логины и текстовые пароли от личных кабинетов платных пользователей этой системы и были найдены в логах, хранящихся в многочисленных индексах с именами начинающимися на «registration-» (например, registration-2019.05.25): 🤦♂️👇
message": "Request starting HTTP/1.1 GET http://registration.maxwell.expert/registration/sign-up-confirm?email=XXX%40gmail.com&password=YYY&token=ZZZ
Всего в открытом доступе находилось более 500 пар логин/пароль. 🙈
Сервис был оповещен о проблеме 26.05.2019 в 21:58 (МСК) и сегодня в промежутке 10:30-15:00 исчез из свободного доступа.
Впервые Shodan зафиксировал Elasticseach на этом сервере 27.01.2019.
Входящая в Fortune 500 американская страховая компания First American Financial Corp., занимающаяся страхованием сделок с недвижимостью, допустила утечку более чем 885 млн. документов через свой вебсайт. 🔥🔥
Банковские счета, выписки и транзакции, налоговые данные и данные по ипотечным кредитам, номера социального страхования (SSN), сканы водительских удостоверений и многое другое было свободно доступно через обычный браузер любому, кто знал определенный URL с числовым идентификатором. Изменяя этот идентификатор можно было получить другой документ с сайта компании. 🤦♂️🤦🏻♂️
Было установлено, что минимальный идентификатор документа (за 2003 год) это 000000075. На 24-е мая этого года перебором можно было получить более 885 млн. документов.
В данном случае мы видим пример, когда IDOR-уязвимость приводит к утечке действительно чувствительных данных, а не как в случае с «псевдо-утечкой» с сайта межведомственного электронного взаимодействия (подробнее тут https://t.me/dataleak/1051). 😂
Недавние случаи IDOR-уязвимостей и перебора URL, приведшие к утечкам данных:
✅ Radario (https://t.me/dataleak/1012) - для учета проданных билетов использовалась сквозная нумерация заказов и простым перебором номера билета (XXXXXXXX) или заказа (YYYYYYY), можно было получить все билеты из системы.
✅ Бинбанк (https://t.me/dataleak/957) - нашелся способ как перебором утащить данные желающих открыть карту «Эlixir», прямо из заполненных форм на сайте банка.
✅ Российский университет транспорта (https://t.me/dataleak/885) - перебором «Табельных номеров» можно получить до полумиллиона записей.
✅ Доктор рядом (https://t.me/dataleak/855) - сервис использовал сквозную нумерацию отчетов и из этих номеров уже формировал URL. После того как пользователь заходил в систему он мог сразу, меняя URL в адресной строке своего браузера, просматривать отчеты, содержащие персональные данные пациентов и в некоторых случаях даже диагнозы.
Банковские счета, выписки и транзакции, налоговые данные и данные по ипотечным кредитам, номера социального страхования (SSN), сканы водительских удостоверений и многое другое было свободно доступно через обычный браузер любому, кто знал определенный URL с числовым идентификатором. Изменяя этот идентификатор можно было получить другой документ с сайта компании. 🤦♂️🤦🏻♂️
Было установлено, что минимальный идентификатор документа (за 2003 год) это 000000075. На 24-е мая этого года перебором можно было получить более 885 млн. документов.
В данном случае мы видим пример, когда IDOR-уязвимость приводит к утечке действительно чувствительных данных, а не как в случае с «псевдо-утечкой» с сайта межведомственного электронного взаимодействия (подробнее тут https://t.me/dataleak/1051). 😂
Недавние случаи IDOR-уязвимостей и перебора URL, приведшие к утечкам данных:
✅ Radario (https://t.me/dataleak/1012) - для учета проданных билетов использовалась сквозная нумерация заказов и простым перебором номера билета (XXXXXXXX) или заказа (YYYYYYY), можно было получить все билеты из системы.
✅ Бинбанк (https://t.me/dataleak/957) - нашелся способ как перебором утащить данные желающих открыть карту «Эlixir», прямо из заполненных форм на сайте банка.
✅ Российский университет транспорта (https://t.me/dataleak/885) - перебором «Табельных номеров» можно получить до полумиллиона записей.
✅ Доктор рядом (https://t.me/dataleak/855) - сервис использовал сквозную нумерацию отчетов и из этих номеров уже формировал URL. После того как пользователь заходил в систему он мог сразу, меняя URL в адресной строке своего браузера, просматривать отчеты, содержащие персональные данные пациентов и в некоторых случаях даже диагнозы.
В феврале 2019 года администрация Засечного сельсовета (Пензенская область) опубликовала на своем сайте постановление о признании молодой семьи нуждающейся в жилом помещении.
Постановление содержало персональные данные членов семьи - ФИО, даты рождения, места жительства и регистрации. При этом члены этой семьи согласия на публикацию своих персональных данных не давали.
По постановлению прокурора ведущий специалист администрации Засечного сельсовета был оштрафован мировым судьей на 4 тысячи рублей за разглашение информации, доступ к которой ограничен федеральным законом.
Постановление содержало персональные данные членов семьи - ФИО, даты рождения, места жительства и регистрации. При этом члены этой семьи согласия на публикацию своих персональных данных не давали.
По постановлению прокурора ведущий специалист администрации Засечного сельсовета был оштрафован мировым судьей на 4 тысячи рублей за разглашение информации, доступ к которой ограничен федеральным законом.
24.04.2019 в 19:11 (МСК) наша система DeviceLock Data Breach Intelligence обнаружила открытую базу MongoDB, принадлежащую группе компаний «Центр противопожарной защиты» (cpz-nk.ru) из г. Новокузнецк (Кемеровская область). 🚒
В базе общим размером 863,9 Кб находилось более 1400 записей, содержащих:
🌵 10 внутренних пользователей CRM-системы (фамилия, имя, логин, хеш пароля/соль, адрес электронной почты, должность, фотография)
🌵 175 клиентов компании (ФИО, телефон, адрес электронной почты, название организации, должность, адрес и реквизиты организации)
🌵 193 контактов/лидов в работе (ФИО, статус, приоритет, название организации, ссылки на договора, вид оказываемых услуг и т.п.)
🌵 26 сотрудников компании (ФИО, дата рождения, телефон, образование, должность, фотография, категория водительского удостоверения, аттестации, рабочая смена, числовые показатели интеллекта, силы и духа)
🌵 57 событий/учений (дата, время начала и окончания, название, описание, задействованные сотрудники и транспорт)
🌵 105 объектов (GPS-координаты, адрес, название, ФИО, телефон и должность контактного лица)
🌵 9 транспортных средств (госномер, инвентаризационный номер, фотография, дата выпуска)
🌵 560 оборудования (название, описание, инвентаризационный номер, место нахождение и т.п.)
🌵 и многое другое…
В тот же день в 19:47 мы оповестили компанию, но ответа от них так никогда и не получили. База оставалась свободно доступной (и изменялась) вплоть до 16.05.2019. 🐏
11.05.2019 эту базу обнаружили хакеры из группировки Unistellar (про них тут: https://t.me/dataleak/1017) и немного ее «подправили». 😂🤦♂️
В Shodan база находилась с 19.03.2019. 👍
В базе общим размером 863,9 Кб находилось более 1400 записей, содержащих:
🌵 10 внутренних пользователей CRM-системы (фамилия, имя, логин, хеш пароля/соль, адрес электронной почты, должность, фотография)
🌵 175 клиентов компании (ФИО, телефон, адрес электронной почты, название организации, должность, адрес и реквизиты организации)
🌵 193 контактов/лидов в работе (ФИО, статус, приоритет, название организации, ссылки на договора, вид оказываемых услуг и т.п.)
🌵 26 сотрудников компании (ФИО, дата рождения, телефон, образование, должность, фотография, категория водительского удостоверения, аттестации, рабочая смена, числовые показатели интеллекта, силы и духа)
🌵 57 событий/учений (дата, время начала и окончания, название, описание, задействованные сотрудники и транспорт)
🌵 105 объектов (GPS-координаты, адрес, название, ФИО, телефон и должность контактного лица)
🌵 9 транспортных средств (госномер, инвентаризационный номер, фотография, дата выпуска)
🌵 560 оборудования (название, описание, инвентаризационный номер, место нахождение и т.п.)
🌵 и многое другое…
В тот же день в 19:47 мы оповестили компанию, но ответа от них так никогда и не получили. База оставалась свободно доступной (и изменялась) вплоть до 16.05.2019. 🐏
11.05.2019 эту базу обнаружили хакеры из группировки Unistellar (про них тут: https://t.me/dataleak/1017) и немного ее «подправили». 😂🤦♂️
В Shodan база находилась с 19.03.2019. 👍
А помните мы писали (тут: https://t.me/dataleak/961), как в открытом доступе оказались все подробности платежей в пользу ГИБДД и ФССП пользователей сайтов оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net и oplata-fssp.ru? 😎
На Хабре даже есть более подробная статья про эту утечку: «Сотни тысяч платежей граждан в ГИБДД и ФССП находились в открытом доступе».
Вы не поверите, но это случилось опять! Или снова. Тут с какой стороны посмотреть на эту проблему. 🤦♂️🤦🏻♂️😱
21.05.2019 тот же самый (что и первый раз) сервер Elasticsearch, с теми же самыми (плюс новые) индексами снова появляется в открытом доступе.
В первый раз, после нашего оповещения, сервер «тихо» был убран из свободного доступа 13.04.2019 около 15:20-15:45 (МСК). После этого этот IP-адрес сканировался Shodan'ом 11 раз и Elasticsearch не был доступен вплоть до 21.05.2019 15:59.
22.05.2019 в 1:25 мы оповестили владельцев о проблеме и вплоть до утра 24.05 Elasticsearch оставался открытым. 🙈
За промежуток с 01.05 по 22.05 в индексах было доступно:
✅ 127525 записей в индексе paygibdd
✅ 49627 записей в индексе shtrafov-net
✅ 162282 записей в индексе oplata-fssp
✅ 220201 записей в индексе gosoplata
Напомним, что в индексах содержалось: номер постановления о штрафе, государственный номерной знак автомобиля, номер исполнительного производства при платеже на сайте службы судебных приставов, первые и последние цифры банковских карт, через какой платёжный сервис произведена оплата и пр. 🔥
24.05 мы получили такое сообщение:
Получили Ваше письмо про открытый ElasticSearch - спасибо за информацию, базу данных закрыли. Системный администратор, повторно открывший доступ, уволен. Также юрслужба готовит к направлению в МВД по Республике Татарстан Заявление о признаках наличия в действиях системного администратора состава по 272 и 273 статьям УК РФ.
На Хабре даже есть более подробная статья про эту утечку: «Сотни тысяч платежей граждан в ГИБДД и ФССП находились в открытом доступе».
Вы не поверите, но это случилось опять! Или снова. Тут с какой стороны посмотреть на эту проблему. 🤦♂️🤦🏻♂️😱
21.05.2019 тот же самый (что и первый раз) сервер Elasticsearch, с теми же самыми (плюс новые) индексами снова появляется в открытом доступе.
В первый раз, после нашего оповещения, сервер «тихо» был убран из свободного доступа 13.04.2019 около 15:20-15:45 (МСК). После этого этот IP-адрес сканировался Shodan'ом 11 раз и Elasticsearch не был доступен вплоть до 21.05.2019 15:59.
22.05.2019 в 1:25 мы оповестили владельцев о проблеме и вплоть до утра 24.05 Elasticsearch оставался открытым. 🙈
За промежуток с 01.05 по 22.05 в индексах было доступно:
✅ 127525 записей в индексе paygibdd
✅ 49627 записей в индексе shtrafov-net
✅ 162282 записей в индексе oplata-fssp
✅ 220201 записей в индексе gosoplata
Напомним, что в индексах содержалось: номер постановления о штрафе, государственный номерной знак автомобиля, номер исполнительного производства при платеже на сайте службы судебных приставов, первые и последние цифры банковских карт, через какой платёжный сервис произведена оплата и пр. 🔥
24.05 мы получили такое сообщение:
Получили Ваше письмо про открытый ElasticSearch - спасибо за информацию, базу данных закрыли. Системный администратор, повторно открывший доступ, уволен. Также юрслужба готовит к направлению в МВД по Республике Татарстан Заявление о признаках наличия в действиях системного администратора состава по 272 и 273 статьям УК РФ.
Клоуны, известные как «мамкины хакеры», служащие поставщиками новостей для блогеров-истеричек (https://t.me/dataleak/1051) снова вышли на связь и вывалили в свой канал документы, с пафосным сопроводительным текстом:
Всем доброго времени суток. Сегодня речь идет о данных российской инфраструктуры Ленинградской области и некоторые военные данные. Что делать с этими данными - решать вам!
По факту все три документа давно опубликованы в свободном доступе на соответствующих сайтах:
1️⃣ http://unitex-center.ru/cadets
2️⃣ http://pub-sed.lenreg.ru/publishing/Document/2332.html#document-text
3️⃣ https://pandia.ru/text/80/228/1254.php
Школьникам не следует брезговать поиском в Google, а то мамка заругает. 😂
Всем доброго времени суток. Сегодня речь идет о данных российской инфраструктуры Ленинградской области и некоторые военные данные. Что делать с этими данными - решать вам!
По факту все три документа давно опубликованы в свободном доступе на соответствующих сайтах:
1️⃣ http://unitex-center.ru/cadets
2️⃣ http://pub-sed.lenreg.ru/publishing/Document/2332.html#document-text
3️⃣ https://pandia.ru/text/80/228/1254.php
Школьникам не следует брезговать поиском в Google, а то мамка заругает. 😂
Forwarded from DeviceLock RU
С 29 по 31 мая в Казани на 13-ом всероссийском IT & Security Forum (ITSF) можно будет ознакомиться с решением DeviceLock DLP и сервисом DeviceLock Data Breach Intelligence. 👇
https://www.devicelock.com/ru/news/devicelock-predstavit-svoi-resheniya-i-servisy-na-itsf-2019.html
https://www.devicelock.com/ru/news/devicelock-predstavit-svoi-resheniya-i-servisy-na-itsf-2019.html
Forwarded from DeviceLock RU
Помните, как в апреле в открытом доступе оказались подробности платежей в пользу ГИБДД и ФССП пользователей сайтов оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net и oplata-fssp.ru?
И вот уже в мае, тот же самый сервер Elasticsearch с данными той же самой системы снова оказался открытым для всего мира: 👇
https://habr.com/ru/post/454048/
Наша система DeviceLock Data Breach Intelligence обнаружила этот сервер повторно 21.05.
И вот уже в мае, тот же самый сервер Elasticsearch с данными той же самой системы снова оказался открытым для всего мира: 👇
https://habr.com/ru/post/454048/
Наша система DeviceLock Data Breach Intelligence обнаружила этот сервер повторно 21.05.
Хабр
Опять сотни тысяч платежей граждан в ГИБДД и ФССП находились в открытом доступе
Помните я писал на Хабре и у себя в Telegram-канале, как в открытом доступе оказались подробности платежей в пользу ГИБДД и ФССП пользователей сайтов оплатагибдд...
В свободном доступе появилась база должников управляющей компании ГБУ "Жилищник района Дорогомилово", актуальностью на 22.04.2019.
В Excel-файле находится 3276 записей, содержащих:
✅ адрес
✅ домашний телефон
✅ ФИО
✅ сумму задолженности
✅ площадь квартиры
✅ количество зарегистрированных (включая детей, пенсионеров, льготников)
В Excel-файле находится 3276 записей, содержащих:
✅ адрес
✅ домашний телефон
✅ ФИО
✅ сумму задолженности
✅ площадь квартиры
✅ количество зарегистрированных (включая детей, пенсионеров, льготников)
Районный суд Великого Новгорода вынес обвинительный приговор частному детективу, признанному виновным в совершении четырех преступлений, предусмотренных ч. 1 ст. 272 УК РФ (неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло копирование компьютерной информации), и одного преступления, предусмотренного ч. 2 ст. 272 УК РФ (неправомерный доступ к охраняемой законом компьютерной информации, если это деяние повлекло копирование компьютерной информации, совершенный из корыстной заинтересованности). Ему назначено наказание в виде штрафа в размере 150 тысяч рублей.
Частный детектив, используя доверительные отношения с сотрудниками областного УМВД, неоднократно получал неправомерный доступ к персональных данным неопределенного числа граждан, посредством предоставленного ему во временное пользование компьютера, подключённого к интегрированным банкам данных (ИБД) ИЦ УМВД России по Новгородской области.
Со своих клиентов детектив получал по 3 тысячи рублей за собранные из баз УМВД данные.
Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут: 👇
https://www.devicelock.com/ru/blog/kak-v-rossii-lovyat-i-nakazyvayut-za-nezakonnuyu-torgovlyu-personalnymi-dannymi.html
Частный детектив, используя доверительные отношения с сотрудниками областного УМВД, неоднократно получал неправомерный доступ к персональных данным неопределенного числа граждан, посредством предоставленного ему во временное пользование компьютера, подключённого к интегрированным банкам данных (ИБД) ИЦ УМВД России по Новгородской области.
Со своих клиентов детектив получал по 3 тысячи рублей за собранные из баз УМВД данные.
Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут: 👇
https://www.devicelock.com/ru/blog/kak-v-rossii-lovyat-i-nakazyvayut-za-nezakonnuyu-torgovlyu-personalnymi-dannymi.html
Киберпротект
Защита от утечки конфиденциальных данных - DLP-система Кибер Протего.
DLP-система Кибер Протего предотвращает утечку конфиденциальной информации, контролирует передачу данных и позволяет обнаруживать нарушения политики их хранения.
Уважаемые читатели канала, напоминаем вам про подписку на дайджест наиболее значимых утечек месяца! 🔥
Если нет времени читать все публикации на канале или захотите по итогам месяца освежить память - рекомендуем подписаться. 😎 Только раз в месяц, никакого спама.
Подписаться на дайджест можно по этой ссылке: 👇
https://www.devicelock.com/ru/subscribe.html
Если нет времени читать все публикации на канале или захотите по итогам месяца освежить память - рекомендуем подписаться. 😎 Только раз в месяц, никакого спама.
Подписаться на дайджест можно по этой ссылке: 👇
https://www.devicelock.com/ru/subscribe.html
Киберпротект
DLP-система Кибер Протего – защита от утечки конфиденциальных данных
DLP-система Кибер Протего предотвращает утечку конфиденциальной информации, контролирует передачу данных и позволяет обнаруживать нарушения политики их хранения.
А вот, например, сервер ООО «Котласгазсервис»: http://www.kotlasgaz.ru/content/request/ 🤦♂️
В директориях лежат сканы паспортов, свидетельств о регистрации собственности, справок и других документов. 🔥
Все файлы уже «утекли» в открытый доступ и распространяются в виде одного архива, размером 340 Мб. 😎
Недавно та же самая проблема была (и есть до сих пор) с сервером службы «Али такси» (https://t.me/dataleak/1049).
В директориях лежат сканы паспортов, свидетельств о регистрации собственности, справок и других документов. 🔥
Все файлы уже «утекли» в открытый доступ и распространяются в виде одного архива, размером 340 Мб. 😎
Недавно та же самая проблема была (и есть до сих пор) с сервером службы «Али такси» (https://t.me/dataleak/1049).
18-го мая обнаружили свободно доступный сервер Elasticsearch с данными «Департамента информационных технологий города Москвы» (dit.mos.ru).
В индексе unidata-backend-log-2019.05 находились в открытом виде административные логины и пароли к платформе «Юнидата», расположенной на том же самом IP-адресе (92.53.100.134:8080/unidata-frontend-admin/).
Кроме того, в самом индексе находилось несколько сотен ФИО, полных паспортных данных, адресов, номеров СНИЛС, адресов электронной почты и т.п.
Большинство данных однозначно идентифицируется как тестовые данные. Небольшая часть выглядит как данные реальных людей, но возможно таковыми не являются.
13-го апреля мы уже обнаруживали другую (реальную) открытую базу данных Elasticsearch, содержащую данные проекта Правительства Москвы - «Московское долголетие»: https://t.me/dataleak/954
В индексе unidata-backend-log-2019.05 находились в открытом виде административные логины и пароли к платформе «Юнидата», расположенной на том же самом IP-адресе (92.53.100.134:8080/unidata-frontend-admin/).
Кроме того, в самом индексе находилось несколько сотен ФИО, полных паспортных данных, адресов, номеров СНИЛС, адресов электронной почты и т.п.
Большинство данных однозначно идентифицируется как тестовые данные. Небольшая часть выглядит как данные реальных людей, но возможно таковыми не являются.
13-го апреля мы уже обнаруживали другую (реальную) открытую базу данных Elasticsearch, содержащую данные проекта Правительства Москвы - «Московское долголетие»: https://t.me/dataleak/954
Telegram
Утечки информации
13-го апреля мы обнаружили открытую базу данных Elasticsearch, содержащую данные проекта Правительства Москвы - «Московское долголетие» (www.mos.ru/city/projects/dolgoletie/). 🤦♂️
В базе находилось более 75108 строк с информацией об участниках программы…
В базе находилось более 75108 строк с информацией об участниках программы…
Если у вас не было возможности посетить форум PHDays и услышать презентацию Ашота Оганесяна, технического директора и основателя DeviceLock, о том, как происходят утечки данных из незащищенных хранилищ, как их обнаруживают исследователи и что может дать заказчикам сервис DeviceLock Data Breach Intelligence - можно это исправить.
Во вторник, 4 июня 2019 г. в 15:00 (MSK) состоится бесплатный вебинар "Разведка уязвимостей хранения данных, или DeviceLock Data Breach Intelligence". Для участия необходима предварительная регистрация:
http://dialognauka.ru/press-center/events/21330/
Во вторник, 4 июня 2019 г. в 15:00 (MSK) состоится бесплатный вебинар "Разведка уязвимостей хранения данных, или DeviceLock Data Breach Intelligence". Для участия необходима предварительная регистрация:
http://dialognauka.ru/press-center/events/21330/
dialognauka.ru
Мероприятия
В разделе «Мероприятия» представлены мероприятия компании «ДиалогНаука»