Продолжаем тему утечки персональных данных клиентов магазинов re:Store, SONY, Samsung, LEGO, Nike, Street Beat, находящихся в управлении компании Inventive Retail Group. Мы подробно писали про техническую сторону утечки в этом канале: https://t.me/dataleak/1089 и на Хабре: https://habr.com/ru/post/455792/

Тогда же было сделано предположение (на основании имеющейся у нас информации из различных непубличных источников), что база клиентов реально утекла. То, что мы были далеко не первыми, кто обнаружил свободно доступный сервер подтверждалось наличием в Elasticsearch записи, оставленной скриптом-вымогателем. 👍

И вот в публичном доступе, сразу на нескольких форумах по «пробиву», появился маленький кусочек этой базы. Злоумышленники дают свободно скачать только 400 записей, содержащих адреса электронной почты и номера мобильных телефонов покупателей.

Напомним, что всего утекло (данные – оценочные, дубли из подсчетов не удалялись) более 3 млн. адресов электронной почты покупателей магазинов re:Store, Samsung, Street Beat и Lego и более 7 млн. телефонов покупателей магазинов re:Store, Sony, Nike, Street Beat и Lego. 😱

Видимо остальные данные будут продаваться, а не раздаваться бесплатно. 😂

На форумах появился маленький кусочек базы с телефонами и эл. почтой клиентов магазинов re:Store, SONY, Samsung, LEGO, Nike, Street Beat.

В самом конце апреля система DeviceLock Data Breach Intelligence обнаружила свободно доступный сервер Elasticsearch с одним единственным индексом, содержащим логи системы управления проектами ActiveCollab.

Выяснили, что сервер c логами принадлежит digital-агентству Nimax (nimax.ru). 28.04.2019 мы оповестили агентство о проблеме и на следующий день сервер исчез из свободного доступа.

В индексе находилось более 1,5 тыс. записей, содержащих названия и содержимое задач за 2015-2019 гг.: 👇

"name": "Собирать картинки-примеры для статей и презентаций (постоянная задача)",
"body": "\nСнимок экрана 2017-03-01 в 14.27.23.png\nСнимок экрана 2017-03-01 в 14.27.16.png\nСнимок экрана 2017-03-01 в 14.27.06.png\nСнимок экрана 2017-03-01 в 14.27.01.png\n7f852236210331.571549685c1db.png\n573fb736210331.5716b3434ec13.png\nСнимок экрана 2017-03-01 в 14.16.27.png\nСнимок экрана 2017-03-01 в 14.16.12.png\nСнимок экрана 2017-03-01 в 14.16.05.png\nСнимок экрана 2017-03-01 в 14.15.51.png\nСнимок экрана 2017-03-01 в 14.15.22.png\nСнимок экрана 2017-03-01 в 14.15.12.png\nddfd3036383609.571a11eb86159.jpg\n2bccc436383609.571a11eabc21c.jpg\n2d024036383609.571a11eabc96b.jpg\nb8a73236383609.571a11eb86621.jpg\nd9442e26859509.5635d873985ab.jpg\n704fbe26859509.5635d8751c473.jpg\nnike-1.png\ntinkoff-4.png\ntinkoff-3\ntinkoff-2.png\ntinkoff-1.png\n1909942.gif\n6301645515_90308f17f0_b.jpg",
"body_extensions": "Рекламные кампании S7\n1-1.jpg\n2.jpg\n3.jpg\n5.jpg\n573c7824f9ec90e562077680a2b66e45.jpg\n2546f430263dda.jpg\n513294c00ce66d61862e6308d8a2d1cd.jpg\n698687e268d2a034da8d24ced31ab284.jpg\n19025250_1542878025747143_5426915017068102029_o.jpg\ns7-1.jpg\nS7-2.jpg\ns7-airlines-4-10 (3).jpg\ns7-airlines-reclama.jpg\nS7ADV_1.jpg",

Кроме того, там же содержались данные по пользователям системы – 178 имен/фамилий и адресов электронной почты: 👇

"name": "Екатерина XXX xxx@nimax.ru",
"is_hidden_from_clients": true,
"context": "people",

Уважаемые читатели канала, по традиции напоминаем вам про подписку на дайджест наиболее значимых утечек месяца! 🔥

Если нет времени читать все публикации на канале или захотите по итогам месяца освежить память - рекомендуем подписаться. Никакого спама. 😎

Подписаться на дайджест можно по этой ссылке: 👇
https://www.devicelock.com/ru/subscribe.html

Сотрудники Управлении ФСБ России по Ростовской области задержали 2-х человек, занимавшихся продажами детализаций телефонных звонков и паспортных данных жителей Ростовской области. 👍

Один из задержанных работал в салоне сотовой связи одного из операторов и имел доступ к конфиденциальной информации абонентов. Клиентов преступники находили через форумы «пробивов». 😎

«Бизнес» ростовских пробивщиков продержался всего месяц и за это время они успели «пробить» 100 человек.

Для общения с клиентами и между собой использовался Telegram-мессенджер. В сообщении ФСБ для прессы интересно следующее: «…удалял свою переписку после получения вознаграждения. Позже оба фальшиво удивлялись вопросам оперативников. отрицали свою переписку и искренне надеялись, что "на них ничего нет"». 😱

Суд оштрафовал преступников на 100 тыс. рублей каждого.


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут: 👇
https://www.devicelock.com/ru/blog/kak-v-rossii-lovyat-i-nakazyvayut-za-nezakonnuyu-torgovlyu-personalnymi-dannymi.html

FormGet (formget.com) - очередной индийский проект хранит данные пользователей в открытом облаке Amazon S3 (AWS). FormGet это сервис для создания форм, обработки полученных через формы лидов и даже приема платежей. 😂🙈

Более 110 тыс. файлов, которые пользователи загружали через этот сервис, среди которых сканы паспортов различных стран и многое другое свободно доступно с серверов amazonaws.com по прямым ссылкам. 🤦🏻‍♂️🤦‍♂️

Среди сканов паспортов попадаются даже российские загранпаспорта. 😱


Про то, как обнаруживают открытые облачные хранилища Amazon S3 можно почитать тут:👇
https://www.devicelock.com/ru/blog/kak-obnaruzhivayut-otkrytye-oblachnye-hranilischa-amazon.html

Компания Mcafee в понедельник подала в суд штата Техас на троих бывших сотрудников, обвиняя их в передаче коммерческой тайны компании Tanium, в которую те устроились на работу. 👍

Один из троих бывших сотрудников McAfee занимал там ранее должность финансового директора и первым (из троих ушедших из McAfee) устроился на новую работу в Tanium.

McAfee обвиняет бывшего финансового директора в том, что он скопировал файл электронной таблицы с именем “Deal Tracker”, в котором содержалась детальная информация о сотнях уже совершенных и готовящихся сделках, включая такие данные, как: названия клиентов, тип сделок, прогнозы продаж, цены и многое другое.

В последнюю рабочую неделю в McAfee, данные были сначала отправлены с рабочего ящика на личный адрес электронной почты, а затем скопированы в облачное хранилище Google Drive. 🤦🏻‍♂️🤦‍♂️

Один из бывших сотрудников также использовал личные (неавторизованные) USB-устройства для копирования на них файлов своего работодателя. 🙈

Удивительно, что в McAfee не используются решения по блокированию неавторизованных USB-устройств. Могли бы обратиться в DeviceLock, мы с момента появления первых USB-устройств на рынке умеем отлично их контролировать (и если надо блокировать). 😎

Хакеры из KelvinSecTeam выложили в открытый доступ JSON-файл с корпоративными адресами электронной почты сотрудников Microsoft.

В файле более 1000 адресов, но после дедупликации остается всего 122 адреса.

"[{\"DiagnosticTypes\":[\"Data\"],\"PackageId\":\"cd349327-91cc-4d94-acbd-a088700923c1\",\"PackageSubmitTime\":\"2019-06-14T00:55:35.5659043Z\",\"PackageSubmittedBy\":\"nichi@corp.microsoft.com\",\"PackageBuildNumber\":\"1.0.8.445\",\"PackageFriendlyName\":\"microsoft.azure.diagnostics.diagnostics.anp\",\"PackageApplyTime\":\"2019-06-22T21:48:44.643876Z\",\"PackageOwnerGroups\":{\"6e7d718c-6b20-461e-b01f-3647232f270d\":\"RCG-ADTCG-24299\"},\"AnalyticsData\":{\"RunTimes\":{\"Percentile95InSeconds\":\"38.856\"}},\"SymptomId\":\"AnpTestTraffic\",\"Description\":\"Used to test the inbound/outbound connectivity to/from a VM deployment\",\"ParamValidationRequired\":true,\"RequiredParameterSets\":[[\"ClusterName\",\"NodeId\",\"MacAddress\",\"ContainerId\",\"SourceIp\",\"DestinationIp\",\"SourcePort\",\"DestinationPort\",\"TransportProtocol\",\"TrafficDirection\"]],\"Owner\":\"domir@microsoft.com\",\"OwnershipId\":\"CloudNet_VirtualNetwork\",\"TargetSupportTopicRegex\":[\"\"

Обнаружили свободно доступный Elasticsearch сервер с данными латвийского сервиса каршеринга CARGURU (carguru.lv/ru).

В индексе с не хитрым названием carsharing содержится различная телеметрия (более 68 млн. записей) автомобилей сервиса, включая GPS-координаты, скорость, показания одометра и многое другое.

Индекс постоянно обновляется – за несколько часов добавилось более 200 тыс. записей.

Оповестили CARGURU о проблеме. Сервер находится в свободном доступе с ноября 2018 г. 🤦🏻‍♂️

В свободном доступе появился список клиентов сети магазинов «Красное и Белое» (krasnoeibeloe.ru). 🍷🍸

В распространяемом текстовом файле находятся ровно 100 тыс. записей, содержащих: ФИО (иногда вместе с текстом «Утеряна» и датой), дату рождения (редко) и номер телефона.

После чистки и дедупликации из 100 тыс. остается 33,2 тыс. записей, содержащих телефоны. Самая свежая запись датирована 01.08.2017, а самая старая - 03.01.2007.

Скорее всего это список держателей скидочных карт данной розничной сети.

Еще один большой материал про рынок "пробива" в России.

«Пробьем все перемещения граждан России: самолетом, поездом, автобусом». «Полное досье на человека: паспортные данные, декларация о доходах, судимости». Это реальные предложения с форума, где торгуют персональными данными.

Здесь предлагают купить сканы ваших паспортов, водительских прав, ИНН, уверяют, что могут прочитать ваши СМС и определить местоположение в конкретный день и час. Здесь о наc с вами знают все: в какие магазины мы ходим и сколько откладываем на черный день. Обозреватель РИА Новости выяснила, кто торгует личной информацией, а также попыталась заказать досье на саму себя.

https://ria.ru/20190701/1555979096.html

Латвийский каршеринг CARGURU наконец закрыл («тихо») свободно доступную базу данных с телеметрией своих автомобилей (https://t.me/dataleak/1130). После нашего оповещения прошло около 3 дней. 🤦🏻‍♂️

А впервые публично про эту проблему в твиттере сообщил исследователь stoXe, еще 2-го марта (https://twitter.com/DevinStokes/status/1101642374931918849). 🙈

В свободном доступе были обнаружены персональные данные клиентов компании Алем-Тур (alem-tour.ru), являющейся туроператором по Карелии.

Не требующий аутентификации сервер Elasticsearch содержал индекс alemtour с 57 тыс. записей. Среди находящихся в свободном доступе данных туристов были:

🌵 адреса электронной почты (более 13,8 тыс. записей)
🌵 мобильные, рабочие, домашние телефоны
🌵 ФИО
🌵 даты рождения
🌵 для некоторых туристов - серия, номер паспорта, кем и когда выдан, адрес регистрации
🌵 стоимость тура
🌵 даты тура
🌵 названия турагентств, продавших туры
🌵 многое другое

Сервер Elasticsearch находился в открытом доступе с 21.11.2018 и был закрыт только после нашего уведомления. 🤦🏻‍♂️

Прошлая новость про выброшенные на свалку документы с персональными данными (https://t.me/dataleak/1113) неожиданно вызвала нездоровый интерес у отдельных подписчиков с шизотипическим расстройством психики. 😂

Специально для пациента, названивавшего в офис мы подготовили еще одну новость на эту тему. 🚑🏥

На несанкционированной свалке в Курске были обнаружены выброшенные документы с персональными данными жителей города - копии паспортов, оригиналы медицинских полисов страховой компании «Росмедстрах-К». Страховая компания прошла процедуру банкротства осенью прошлого года, ее клиенты были переведены в другие компании.

Иногда они возвращаются снова… 😂

27-го мая написали (https://t.me/dataleak/1056), что платный поисковый сервис мониторинга цен на топливо Maxwell Expert убрал, после нашего оповещения, из свободного доступа свой Elasticsearch с логинами и паролями пользователей.

Однако хватило их ровно на месяц - 27.06.2019 сервер вновь появился в свободном доступе с уже подросшей базой. 🤦🏻‍♂️

Точно такая же «история возвращения» произошла в свое время и с сервером Elasticsearch сайтов госоплаты (https://t.me/dataleak/1062). 🤦‍♂️

В Костроме предстанет перед судом 39-летний участковый уполномоченный полиции, который с августа по октябрь 2018 года за деньги передавал персональные данные умерших и информацию о местонахождении тел частному похоронному бюро.

Бывший полицейский успел получить от взяткодателей наличными как минимум 12 тыс. рублей. Ему предъявили обвинение по части 3 статьи 290 УК РФ "Получение должностным лицом лично взятки в виде иного имущества за совершение действий в пользу взяткодателя, если указанные действия входят в служебные полномочия должностного лица либо если оно в силу должностного положения может способствовать указанным действиям, за незаконные действия".

Обвиняемому грозит до восьми лет заключения и крупный штраф. Дело передано для рассмотрения по существу в Свердловский районный суд Костромы.


Обзор случаев задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными в России: 👇

https://www.devicelock.com/ru/blog/kak-v-rossii-lovyat-i-nakazyvayut-za-nezakonnuyu-torgovlyu-personalnymi-dannymi.html

Наша система DeviceLock Data Breach Intelligence (подробнее тут: https://www.devicelock.com/ru/data-breach-intelligence/) обнаружила свободно доступный сервер с базой данных CPA-сети REKL.PRO (www.rekl.pro).

В индексах Elasticsearch находилось:

🌵 106 записей внутренних пользователей (сотрудников рекламной сети) системы, содержащих: имя и фамилию пользователя, адрес электронной почты, логин, хешированный пароль, номер мобильного телефона, номер офисного телефона, отдел (например, «Операторы АРМ», «Отдел фрода»), время последнего входа в систему и т.п.

🌵 6053 клиентских заказов, содержащих: ФИО, телефон, цену, страну, описание, дату и т.п.

🌵 1998 рекламных объявлений (проектов), содержащих: название, URL, телефон и т.п.

🌵 и многое другое.

После нашего оповещения через Telegram, сервер исчез из свободного доступа.

Пример данных из свободно доступной базы CPA-сети REKL.PRO

Рубрика «потешные утечки». 😂

Служба безопасности Украины (СБУ) сообщает, что потеряна флешка с секретной информацией по инженерно-техническому обустройству границы с Россией (проект "Стена"). 🤣

Директор компании подрядчика строительных работ потерял вверенные ему материальные носители секретной информации с грифом "секретно". 🐏

Прошлая «потешная утечка», про которую мы писали, разумеется тоже произошла на Украине - СБУ, выявила тогда утечку «военных баз данных» в Россию: https://t.me/dataleak/669

А в марте в открытый доступ попали документы самой СБУ: https://t.me/dataleak/875 🙈

19-го мая обнаружили свободно доступный сервер Elasticsearch с индексами: event_deal и deal. По данным Shodan «появился» он 17.05.2019.

В индексах находились данные из CRM-системы, содержащие информацию о заказах на установку пластиковых окон (и т.п. работ) с сайтов rehau-moskva.ru, okno-moskva.ru, rehau-portal.ru, okno.ru, pvh24.ru. 🤦‍♂️

Всего более 46 тыс. записей, содержащих:

🌵 ФИО (часто просто имя или имя/фамилия) заказчика
🌵 телефон (часто не один)
🌵 адрес (включая GPS-координаты, номер подъезда, этаж, код домофона и т.п.)
🌵 адрес электронной почты (не всегда)
🌵 дату заказа и дату выезда замерщика
🌵 стоимость заказа и предоплату
🌵 описание заказа (например, «2ок, б/бл без отк+ ал. лоджия») и объем работ в кв. м.
🌵 зарплату установщиков
🌵 с какого из сайтов пришел заказ
🌵 и многое другое

Самые свежие записи датировались концом апреля 2019 г. 👍

На наше оповещение разумеется никто не ответил. 30.05.2019 данный сервер Elasticsearch пропал из свободного доступа. Однако это не конец истории. 😎

23.06.2019 случилось возвращение, но уже с другими индексами и данными в них. Про это мы напишем отдельно. 🔥