Продолжаем марафон утечек из российских баз данных, оставленных их владельцами в открытом доступе.
На этот раз была обнаружена база MongoDB, не требующая аутентификации, с персональными данными и фотографиями заемщиков из Южного, Уральского и Приволжского федеральных округов и всеми их заявками на кредиты.
Группа исследователей из Университета Северной Каролины (North Carolina State University, NCSU) провели исследование сервиса для хостинга IT-проектов и их совместной разработки GitHub. Специалисты установили, что свыше 100 тыс. GitHub-репозиториев содержат API-ключи, токены и криптографические ключи.
Проблема непреднамеренной утечки критичной информации (ключей шифрования, токенов и API-ключей от различных онлайн сервисов и т.п.) уже достаточно давно является одной из самых горячих тем.
Буквально пару дней назад я писал на Хабре про то, как российский медицинский онлайн-сервис DOC+ умудрился оставить в открытом доступе базу данных с детальными логами доступа, из которых можно было получить данные пациентов и сотрудников сервиса. И вот новый инцидент, с уже другим российским сервисом, предоставляющим пациентам онлайн-консультации врачей – «Доктор рядом» (www.drclinics.ru).
Напишу сразу, что благодаря адекватности сотрудников «Доктор рядом», уязвимость была быстро (2 часа с момента уведомления ночью!) устранена и скорее всего утечки персональных и медицинских данных не случилось. В отличии от инцидента с DOC+, где мне точно известно, что как минимум один json-файл с данными, размером 3.5 Гб попал в «открытый мир», а при этом официальная позиция выглядит так: "В открытом доступе временно оказался незначительный объем данных, который не может привести к негативным последствиям для сотрудников и пользователей сервиса DOC+.".
Я много пишу про обнаружение свободно доступных баз данных практически во всех странах мира, но новостей про российские базы данных, оставленные в открытом доступе почти нет. Хотя недавно и писал про «руку Кремля», которую с перепугу обнаружил голландский исследователь в более чем 2000 открытых базах данных.
Может сложиться неверное представление, что в России все замечательно и владельцы крупных российских онлайн-проектов подходят ответственно к хранению данных пользователей. Спешу развенчать этот миф на данном примере.
Российский медицинский онлайн-сервис DOC+ судя по всему, умудрился оставить в открытом доступе базу данных ClickHouse с логами доступа. К сожалению, логи выглядят настолько детальными, что вероятной утечке могли подвергнуться персональные данные сотрудников, партнеров и клиентов сервиса.
Обо всем по порядку…
Как сообщает Citrix через свой блог, ФБР проинформировало их об атаке хакеров на внутренние ИТ-ресурсы компании.
Citrix начали расследование и установили, что был неавторизованный доступ к внутренним документам.
В первой части обзора утечек 2018 года, я рассматривал наиболее значимые утечки данных за первое полугодие и вот пришло время второй части.
Как уже говорилось ранее — в обзор попали только крупные случаи утечек информации по всему миру и месяц инцидента указан не по времени его происшествия, а по времени раскрытия (публичного анонса).
Посмотрим как протекало второе полугодие…
В октябре, на канале Утечки информации, я писал про то, что Google обнаружили в своей социальной сети Google+ потенциальную утечку данных 500 тыс. пользователей.
А сегодня Google заявили, что они обнаружили еще одну уязвимость в API Google+, которая могла привести к утечке данных 52,5 млн. пользователей.
2018-й год подходит к концу — а значит, пришло время подвести его итоги и перечислить наиболее значимые утечки данных.
В данный обзор попали только действительно крупные случаи утечек информации по всему миру. Однако, даже несмотря на высокий порог отсечения, случаев утечек так много, что обзор пришлось разбить на две части – по полугодиям.
Давайте посмотрим, что и как утекало в этом году с января по июнь. Сразу оговорюсь, что месяц инцидента указан не по времени его происшествия, а по времени раскрытия (публичного анонса).
Итак, поехали…
Компания Marriott International сообщила, что хакеры получили доступ к базе данных бронирования сети Starwood Hotels (принадлежит Marriott), содержащей персональные данные клиентов начиная с 2014 года и по сегодняшний день. Причем, в ходе расследования обнаружилось, что неавторизованный доступ к базе был получен еще в 2014 году.
В начале этого года я делал небольшой обзор цен черного рынка на российские персональные данные, и вот пришло время его обновить и дополнить. Заодно посмотрим, изменились ли цены и предложение на «рынке».
Следует учитывать, что анализ услуг и цен на них делался по объявлениям на различного рода андеграундных форумах и площадках в Dark Web.Читать полностью »
