Вечером 06 июля (суббота) DeviceLock Data Breach Intelligence обнаружила свободно доступный сервер Elasticsearch, которого раньше никогда не было в индексе Shodan (дата появления в индексе 06.07.2019) и BinaryEdge (на момент обнаружения «не видел» этот сервер, но увидел его через несколько часов).

Видимо кто-то решил поработать в выходные, но что-то пошло не так. 😂 🤦🏻‍♂️

На этом сервере находилось 5 индексов, с весьма говорящим названием: 👇

komus2019-07-04
komus2019-07-05
komus2019-07-06
komus2019-07-02
komus2019-07-03

Внутри индексов содержалась информация, вероятно относящаяся к интернет-магазину компании «Комус» (komus.ru):

🌵 адреса электронной почты покупателей
🌵 заказы покупателей


Каждый индекс в среднем содержит 13 тыс. записей (за рабочий день): 👇

"timestamp": "2019-07-12 01:00:20",
"cartcontent": "[{\"item\":\"472622\",\"price\":165,\"quantity\":1,\"image\":\"http://komus.ru/medias/sys_master/root/hd0/h21/9594087604254.jpg\",\"link\":\"http://komus.ru/katalog/pismennye-prinadlezhnosti/karandashi-chernografitnye/nabor-chernografitnykh-karandashej-kores-hb-zatochennye-s-lastikom-4-shtuki-v-upakovke-/p/472622/\",\"product\":\"Набор чернографитных карандашей Kores HB заточенные с ластиком (4 штуки в упаковке)\",\"availability\":\"На складе\"},
"email": ***@yandex.ru

(реальный адрес электронной почты скрыт нами)

На текущий момент в свободном доступе находится 100,919 таких записей в 11 индексах. 🔥

На наши оповещения по электронной почте, через Facebook-мессенджер и через Facebook компания «Комус» никак не реагирует. Сервер по-прежнему свободно доступен. 😱🤦‍♂️

Наконец получили ответ от «Комус»:

Благодарим Вас за данную информацию! Передали коллегам.

Сервер по-прежнему свободно доступен. 🤣🤦‍♂️

Радиостанция «Говорит Москва» сообщает, что клиент BelkaCar стал жертвой утечки персональных данных:

Житель подмосковного Жуковского написал заявление о мошенничестве из-за того, что на его имя без его согласия был оформлен кредит в микрофинансовой организации. При выяснении обстоятельств оказалось, что в договоре и материалах по кредиту были использованы фото с персональными данными, которые мужчина передавал в каршеринговый сервис при регистрации. В распоряжении мошенников среди прочего оказалось его фото с паспортом.

Сегодня на черном рынке можно без каких-либо проблем купить сканы паспортов и других документов (водительских удостоверений, СНИЛС и т.п.). В среднем цена на один комплект от 200 до 300 рублей. Например, фотография с паспортом в руках в комплекте со сканом этого паспорта стоит 250 руб. 😱


В ноябре 2018 года мы выпустили очередной обзор цен черного рынка на российские персональные данные: www.devicelock.com/ru/blog/tseny-chernogo-rynka.html

Очередное обвинение, очередного сотрудника китайского происхождения, в краже очередных секретов у очередной американской компании. 😴

На этот раз в краже обвиняется бывший инженер компании Tesla, занимавшийся разработкой автопилота. По словам обвинения, в конце 2018 года он загрузил zip-архив с исходными кодами (300 тыс. файлов) автопилота Tesla в свое личное облачное хранилище iCloud. 👍

В данный момент этот бывший сотрудник работает на китайскую компанию Xiaopeng Motor, занимающуюся разработкой беспилотного автотранспорта. Разумеется, вину он не признает и говорит, что копировал файлы исключительно для бэкапа и потом все удалил. 😂

Ранее компания Apple обвиняла своего бывшего сотрудника китайского происхождения в краже технической документации с целью передачи той же самой Xiaopeng Motors: https://t.me/dataleak/459

Посчитали статистику по паролям «Озон» (https://t.me/dataleak/1148), по аналогии со статьей «Анализ 4 млрд паролей». 😂

Всего паролей в базе: 451,825
Пустых паролей: 688
Числовых паролей: 61,394
Буквенных паролей: 88,923
8 и более символов: 344,268
Более 10 символов: 81,605
Менее 7 символов: 62,565

10-ть самых популярных паролей (исключая пустые):

1️⃣ 123456
2️⃣ 123456789
3️⃣ 1234567890
4️⃣ qwerty
5️⃣ password
6️⃣ 12345678
7️⃣ xedfxtr
8️⃣ 1q2w3e4r5t
9️⃣ 123123
1️⃣0️⃣ borodaa13

10-ть самых популярных паролей, содержащих только буквы:

1️⃣ qwerty
2️⃣ password
3️⃣ xedfxtr
4️⃣ kavkaz
5️⃣ qwertyuiop
6️⃣ zxcvbnm
7️⃣ xxx
8️⃣ qazwsxedc
9️⃣ qweasdzxc
1️⃣0️⃣ krokotun

10-ть самых популярных паролей, содержащих только цифры:

1️⃣ 123456
2️⃣ 123456789
3️⃣ 1234567890
4️⃣ 12345678
5️⃣ 123123
6️⃣ 123321
7️⃣ 12345
8️⃣ 111111
9️⃣ 1234567
1️⃣0️⃣ 123123123

Паролей с кириллицей и спецсимволами нет.

Даже длинные (10 и более символов) пароли являются очень слабыми (например, 1q2w3e4r5t6y или 12345678910). Это лишний раз говорит о том, что данные пароли восстановлены из хешей перебором (по словарям). 😴

Точно к выходу новости о том, что «Яндекс.Такси» договорилось о покупке активов такси «Везёт», в продаже появилась база данных водителей «Яндекс.Такси» г. Санкт-Петербург. 🤣

В свободном доступе появился небольшой кусок (2001 запись из 70 тыс.) базы данных озаглавленной как «сотрудники компании Apple». 🍏

Судя по информации из базы – данные там довольно свежие и содержат записи, датированные 11.02.2019. 🔥

Среди прочего, в базе содержатся:

🌵 имена и фамилии
🌵 личные адреса электронной почты
🌵 служебные адреса электронной почты на домене apple.com
🌵 даты приема на работу
🌵 временные зоны, в которых работают сотрудники
🌵 каналы общения (Chat, Voice, Email)

Судя по всему, это список сотрудников службы технической поддержки. Причем не все сотрудники являются напрямую сотрудниками Apple, многие «приписаны» к сервисным компаниям (Conduent, Relia, Kelly и т.п.), оказывающим услуги аутсорсинга.

Попадаются и записи с упоминанием слова «Russian»:

✅ Transcom (Tallinn) - EMEA Tier 1 iOS Phone Russian
✅ Webhelp (Riga) - EMEA Tier 2 iOS Phone Russian
✅ Conduent (Prague) - EMEA Tier 2 Mac+ Phone Russian
✅ TP (Goerlitz) - EMEA Tier 2 Mac+ Phone Russian

Вчера по СМИ прошла новость, что хакеры похитили из болгарской налоговой службы (Национальное агентство по доходам Болгарии - nap.bg) персональные данные более чем пяти миллионов граждан. 🔥🔥

Всего был получен доступ к 110 базам данных, общим размером 21 Гб, но на сегодняшний день в открытом доступе находится только 57 баз.

В архиве minfin_leak.zip (1.7 Гб сжатых данных) содержится 1044 CSV-файлов, общим размером 10.72 Гб.

В файлах находится:

🌵 имя/фамилия
🌵 персональный идентификационный номер (EGN)
🌵 адрес
🌵 адрес электронной почты
🌵 информация о доходах
🌵 имя пользователя
🌵 пароль

Обращение "русского" хакера слившего данные болгарских граждан. 🙈

Продолжаем тему «болгарской утечки».

Пароли у них в системе хранятся «типа зашифрованными» - в BASE64. Т.е. на самом деле в открытом виде. 🤦🏻‍♂️

А вот так болгарское ТВ слило в паблик пароль и ссылку на файл с базой. 🙈

🔥 Подборка самых интересных каналов про IT, хакинг и безопасность.

CyberYozh - бесплатный курс по анонимности и безопасности в сети. Истории ошибок и арестов известных киберпреступников, тайные технологии защиты информации, ловушки для хакеров и многое другое.

@webware - хакинг от новичка до профи. Только свежая и эксклюзивная информация. Offensive, Defensive, Penetration test, CTF…

@vschannel - канал Дмитрия Момота, известного в сети под псевдонимом VektorT13. Он пишет про уникализацию, антидетекты, методики отслеживания, анти-фрод системы, отпечатки браузера, железа и операционной системы.

@SecLabNews - канал русскоязычного новостного портала SecurityLab.ru, оперативно публикующего информацию о последних новостях IT-безопасности в России и мире.

@exploitex - DDoS атаки и вирусы, обзоры хакерских девайсов и жучков, гайды по взлому и секреты анонимности в интернете.

В г. Муром Владимирской области вынесен приговор 23-летнему бывшему сотруднику АО «Русская телефонная Компания» (розничная сеть «МТС»), который занимался продажей детализации телефонных переговоров клиентов «МТС».

Как установило следствие и суд, в течение нескольких дней января 2017 года бывший сотрудник неоднократно подделывал заявления от имени клиентов компании «МТС» на получение сведений о соединениях (детализация звонков), а при получении данных копировал их на сменный носитель. Сотрудник направил от имени клиентов 43 сервисных запроса.

Он признан виновным по ч. 2 ст. 138 УК РФ (нарушение тайны телефонных переговоров), ч. 3 ст. 272 УК РФ (неправомерный доступ к охраняемой законом компьютерной информации) и ч. 3 ст. 183 УК РФ (незаконное получение сведений, составляющих коммерческую тайну) и приговорен к штрафу в 240 тысяч рублей.


Обзор случаев задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными в России: 👇

https://www.devicelock.com/ru/blog/kak-v-rossii-lovyat-i-nakazyvayut-za-nezakonnuyu-torgovlyu-personalnymi-dannymi.html

В открытом доступе продолжают всплывать персональные данные покупателей розничных сетей re:Store, SONY, Samsung, LEGO, Nike, Street Beat, находящихся в управлении компании Inventive Retail Group (IRG). 🔥

Мы подробно писали про техническую сторону этой утечки тут: https://t.me/dataleak/1089

На этот раз в свободном доступе появился файл с 1354 записями, содержащими:

🌵 digital_id
🌵 phone
🌵 email
🌵 brand
🌵 card_number
🌵 first_name
🌵 last_name
🌵 middle_name
🌵 gender
🌵 birthday

Вот прямая цитата из официального заявления IRG (доступно тут inventive.ru/about/releases/1255/): “Утечки персональных данных клиентов street-beat.ru компания не подтверждает. Оперативно были проверены дополнительно все проекты Inventive Retail Group. Угрозы для персональных данных клиентов не обнаружены.” 🤦🏻‍♂️🤦‍♂️🙈

Разумеется, в данном файле находятся персональные данные в том числе и клиентов street-beat.ru. 🤣😂

В мае DeviceLock Data Breach Intelligence обнаружила открытый Elasticsearch с индексом pntcrm, в котором находилось 11560 записей, содержащих:

🌵 имена
🌵 номера телефонов
🌵 адреса электронной почты
🌵 почтовые адреса
🌵 описания заказов

"phone": "+7977*******",
"description": "Футболки черные 530 р/шт белые 400 р\r\n3 черные 1 белая",
"app_title": null,
"client_name": "Марина ****нова",
"email": "***@mail.ru",
"id": 39372,
"@timestamp": "2019-03-19T06:52:03.276Z",
"@version": "1",
"title": "2-0913-1",
"address": "город Москва, метро Новые Черёмушки, улица ***, дом ***, Квартира 1! Домофон: 1*0985 с 11 до 13-00"

(реальные данные скрыты нами)

Выяснили, что это CRM-система (pntcrm.ru), принадлежащая текстильной типографии «Принт на ткани» (printnatkani.ru). После оповещения сервер «тихо» исчез из свободного доступа. 😎

В августе 2018 крупный американский онлайн магазин одежды Shein.com сообщил о том, что в июне внешние атакующие завладели клиентской базой из 6.42 млн. записей.

И вот недавно в открытом доступе появилось 286,249 пар логин (эл. почта)/пароль из этой утечки. Пароли - восстановленные из хешей.

Проанализировав данный дамп мы установили, что 252,463 пары логин/пароль уникальные и ранее нигде не встречались. 👍

Хакеры из DigitalRevolution (твиттер: @D1G1R3V) взломали сервер ИТ-компании "Сайтэк" (sytech.ru – в данный момент не работает) и утверждают, что (кроме «дефейса») получили доступ к документации некоторых проектов (деанонимизация Tor и др.), создаваемых якобы по заказу ФСБ.

В качестве «пруфов» на файлобменник выложены PDF-файлы (куски презентаций, документации и т.п.) и скриншоты (в т.ч. список пользователей из домена компании и адреса электронной почты), ничего ровным счетом не доказывающие (кроме того, что "Сайтэк" имел отношение к этим проектам): https://mega.nz/#F!qItHGQAT!i57Q2YKUraP1KCNoed3vfA

Скорее всего ничего, кроме кусков маркетинговых материалов не пострадало иначе оно уже было бы в сети.

Запись совместного вебинара DeviceLock и Ассоциации российских банков (АРБ) от 18 июля 2019 г.: 👇

https://www.youtube.com/embed/_xAnft90xfo

✅ Главный принцип полноценной DLP-защиты – предотвращать утечки данных и связанные с ними вероятные потери, не ограничиваясь регистрацией инцидентов с утечками.

✅ Все ли DLP-системы защищают от утечки конфиденциальных данных?

✅ Какой подход к защите от утечек данных применяется за рубежом и в чем его отличие от «нашего российского»?

✅ Разведка уязвимостей хранимых данных как инструмент защиты от утечки конфиденциальной информации с незащищенных серверов.

17-го мая DeviceLock Data Breach Intelligence обнаружила открытую базу данных MongoDB с именем «billing» не требующую аутентификации для подключения, в которой находилось более 34 тыс. записей, принадлежащих тверскому интернет-провайдеру «Sky@Net» (tvhost.ru).

В течении нескольких часов после нашего оповещения база была «тихо» закрыта.

Помимо информации о тарифах, в базе данных находились логины и хеши паролей (плюс соль отдельно) администраторов портала. 👍

А помните в начале месяца мы писали (https://t.me/dataleak/1141) про открытую базу данных CRM-системы установщиков пластиковых окон ОКНО.ру? 👇

Мы тогда обещали продолжение истории. Выполняем обещание. 😎

23.06.2019 случилось возвращение свободно доступного сервера Elasticsearch на том же самом IP-адресе, но уже с другими индексами:

deal
contact
lead

Суммарно во всех трех индексах на момент обнаружения находилось 194,549 записей. Спустя неделю количество записей выросло до 198,561. А на сегодняшний день там 198,564 записи. Т.е. база практически не растет с начала июля.

"name": "*** Ольга Анатольевна",
"email": "",
"old_address": "г. Москва, ул. Молодогвардейская д**кв**под**эт**",
"comment": "Имя: *** Ольга Анатольевна7965******* | | г. Москва, ул. Молодогвардейская д ** кв ** под**, эт**,
"main_phone_number": "7965*******",
"address": "г. Москва, ул. Молодогвардейская д**кв**под**эт**",
"title": "*** Ольга Анатольевна",
"name": "Договор",

(реальные данные скрыты нами)

Надо ли говорить, что на наши оповещения никакой реакции нет до сих пор? Мы связались с хостером fornex.com, на чьей площадке находится данный сервер и даже получили от них ответ «Спасибо. Передали клиенту.», но сервер с Elasticsearch по-прежнему общедоступен. 🤦🏻‍♂️🤦‍♂️

В базе находятся персональные данные физических лиц, видимо оставивших свои заявки на строительные/ремонтные работы на одном из сайтов описанных в предыдущей нашей статье. Судя по всему, есть пересечения по контактам (телефонам) с найденной нами ранее на том же самом IP-адресе базой CRM-системы ОКНО.ру. Однако, в данном случае размер базы больше в несколько раз. 🔥🔥

Удалось выяснить, что данная CRM-система, допустившая утечку десятков тысяч персональных данных клиентов, скорее всего является проектом под названием stroybooking.ru. Подробнее про него можно прочитать тут: https://andagar.ru/projects/stroybooking-ru/. 😂

В проект вероятно проинвестировал кипрский инвестиционный фонд OMEGA Funds Investment (omegainvest.com.cу) и он судя по всему не выстрелил. 😭 Инвесторы тоже не соблаговолили ответить или даже отреагировать на наше оповещение, хотя их логотип красуется (собственно, это единственное что там есть) на сайте stroybooking.ru.