Когда белки-истерички, не сильно разбирающиеся в теме, пытаются писать про утечки, получается не очень. 😂 За утечки принимаются свободно доступные данные, но полученные не через поисковик типа Google, а немного извращенным способом. В данном случае речь идет про пост в Telegram-канале «Сайберсекьюрити и Ко» под названием «ГосУслуги — документы в открытом доступе»: https://telegra.ph/Vnutrennie-dokumenty-portala-GosUslugi-okazalis-v-otkrytom-dostupe-05-23.

Что мы имеем по факту – 13-го мая якобы украинские хакеры (про них писалось тут https://t.me/dataleak/926) написали про данную «утечку»: https://telegra.ph/Atakovano-sajt-derzhposlug-RF-05-12.

Эти мамкины хакеры неоднократно попадались на том, что принимали за утечки свободно доступные (https://t.me/dataleak/975) и даже тестовые данные (https://t.me/dataleak/946). Уже никто из специалистов не «покупается» на их находки. Но в среде истеричных блогеров видимо они еще обладают определенным авторитетом. 🤦‍♂️

В Уфе начато расследование уголовного дела в отношении 31-летней сотрудницы банка.  

Женщина скопировала данные клиентов и отправила их себе на почту. 🤦‍♂️🤦🏻‍♂️ Позже она передала эти данные сотруднику другого банка.

За разглашение сведений, составляющих банковскую тайну, бывшей сотруднице банка грозит наказание либо в виде штрафа, принудительных работ, либо, в самом крайнем случае - лишения свободы.

Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут: 👇
https://www.devicelock.com/ru/blog/kak-v-rossii-lovyat-i-nakazyvayut-za-nezakonnuyu-torgovlyu-personalnymi-dannymi.html

Суд принял решение отправить под арест начальника отдела по расследованию дорожно-транспортных происшествий СУ УМВД России по г. Омску Алексея Липина.

По данным Следственного комитета, в отношении Алексея Липина заведено уголовное дело по ч.2, ч.3 ст. 290 УК РФ (получение взятки).

Липин передавал своему знакомому адвокату персональные данные омичей, пострадавших в ДТП, а самих потерпевших убеждал обратиться за оказанием юридической помощи именно к этому адвокату.

Мамкины хакеры из THack3forU подбросили список работающих URL с сайта межведомственного электронного взаимодействия (smev.gosuslugi.rusmev.gosuslugi.ru). Ничего интересного по ссылкам найти не удалось – обычные распоряжения правительства, образцы заявок на доступ, руководства пользователей и т.п. документы, не содержащие никакой критичной информации.

Однако, для истеричных блогеров (https://t.me/dataleak/1051) это может быть неплохим кормом: 😂

http://smev.gosuslugi.ru/portal/api/files/get/000423
http://smev.gosuslugi.ru/portal/api/files/get/000424
http://smev.gosuslugi.ru/portal/api/files/get/000425
http://smev.gosuslugi.ru/portal/api/files/get/000426

(полный список можно скачать тут: https://t.me/ukraine_matrix/133)

Хозяйке на заметку: обновился весьма полезный скрипт на питоне для поиска в Shodan открытых баз – LeakLooker: 👇

https://github.com/woj-ciech/LeakLooker

Во второй версии кроме баз Elasticsearch, CouchDB, MongoDB и Kibana добавлен поиск SMB, Gitlab, Rsync, Jenkins и Sonarqube. 👍


Про то, как исследователи обнаруживают открытые базы данных Elasticsearch и MongoDB читайте тут: 👇

https://www.devicelock.com/ru/blog/obnaruzhenie-otkrytyh-baz-dannyh-mongodb-i-elasticsearch.html

Вчера вечером система DeviceLock Data Breach Intelligence (подробнее тут: https://www.devicelock.com/ru/press/devicelock-sozdal-ii-dlya-razvedki-uyazvimostej-hraneniya-dannyh.html) обнаружила свободно доступный сервер Elasticsearch с логами поисковой системы Maxwell Expert (www.maxwell.expertwww.maxwell.expert), отображающей актуальное состояние цен у поставщиков топлива по всей России.

Сама поисковая система по ценам на нефтепродукты – бесплатная, но регулярная рассылка цен по СМС и в Telegram стоит 990 рублей в месяц.

Именно логины и текстовые пароли от личных кабинетов платных пользователей этой системы и были найдены в логах, хранящихся в многочисленных индексах с именами начинающимися на «registration-» (например, registration-2019.05.25): 🤦‍♂️👇

message": "Request starting HTTP/1.1 GET http://registration.maxwell.expert/registration/sign-up-confirm?email=XXX%40gmail.com&password=YYY&token=ZZZ

http://registration.maxwell.expert/registration/sign-up-confirm?email=XXX%40gmail.com&password=YYY&token=ZZZ

Всего в открытом доступе находилось более 500 пар логин/пароль. 🙈

Сервис был оповещен о проблеме 26.05.2019 в 21:58 (МСК) и сегодня в промежутке 10:30-15:00 исчез из свободного доступа.

Впервые Shodan зафиксировал Elasticseach на этом сервере 27.01.2019.

Пример личного кабинета пользователя системы Maxwell Expert, логин и пароль от которого находились в открытом доступе.

Входящая в Fortune 500 американская страховая компания First American Financial Corp., занимающаяся страхованием сделок с недвижимостью, допустила утечку более чем 885 млн. документов через свой вебсайт. 🔥🔥

Банковские счета, выписки и транзакции, налоговые данные и данные по ипотечным кредитам, номера социального страхования (SSN), сканы водительских удостоверений и многое другое было свободно доступно через обычный браузер любому, кто знал определенный URL с числовым идентификатором. Изменяя этот идентификатор можно было получить другой документ с сайта компании.  🤦‍♂️🤦🏻‍♂️

Было установлено, что минимальный идентификатор документа (за 2003 год) это 000000075. На 24-е мая этого года перебором можно было получить более 885 млн. документов.

В данном случае мы видим пример, когда IDOR-уязвимость приводит к утечке действительно чувствительных данных, а не как в случае с «псевдо-утечкой» с сайта межведомственного электронного взаимодействия (подробнее тут https://t.me/dataleak/1051). 😂

Недавние случаи IDOR-уязвимостей и перебора URL, приведшие к утечкам данных:

✅ Radario (https://t.me/dataleak/1012) - для учета проданных билетов использовалась сквозная нумерация заказов и простым перебором номера билета (XXXXXXXX) или заказа (YYYYYYY), можно было получить все билеты из системы.

✅  Бинбанк (https://t.me/dataleak/957) - нашелся способ как перебором утащить данные желающих открыть карту «Эlixir», прямо из заполненных форм на сайте банка.

✅ Российский университет транспорта (https://t.me/dataleak/885) - перебором «Табельных номеров» можно получить до полумиллиона записей.

✅ Доктор рядом (https://t.me/dataleak/855) - сервис использовал сквозную нумерацию отчетов и из этих номеров уже формировал URL. После того как пользователь заходил в систему он мог сразу, меняя URL в адресной строке своего браузера, просматривать отчеты, содержащие персональные данные пациентов и в некоторых случаях даже диагнозы.

В феврале 2019 года администрация Засечного сельсовета (Пензенская область) опубликовала на своем сайте постановление о признании молодой семьи нуждающейся в жилом помещении.

Постановление содержало персональные данные членов семьи - ФИО, даты рождения, места жительства и регистрации. При этом члены этой семьи согласия на публикацию своих персональных данных не давали.

По постановлению прокурора ведущий специалист администрации Засечного сельсовета был оштрафован мировым судьей на 4 тысячи рублей за разглашение информации, доступ к которой ограничен федеральным законом.

24.04.2019 в 19:11 (МСК) наша система DeviceLock Data Breach Intelligence обнаружила открытую базу MongoDB, принадлежащую группе компаний «Центр противопожарной защиты» (cpz-nk.rucpz-nk.ru) из г. Новокузнецк (Кемеровская область). 🚒

В базе общим размером 863,9 Кб находилось более 1400 записей, содержащих:

🌵 10 внутренних пользователей CRM-системы (фамилия, имя, логин, хеш пароля/соль, адрес электронной почты, должность, фотография)

🌵 175 клиентов компании (ФИО, телефон, адрес электронной почты, название организации, должность, адрес и реквизиты организации)

🌵 193 контактов/лидов в работе (ФИО, статус, приоритет, название организации, ссылки на договора, вид оказываемых услуг и т.п.)

🌵 26 сотрудников компании (ФИО, дата рождения, телефон, образование, должность, фотография, категория водительского удостоверения, аттестации, рабочая смена, числовые показатели интеллекта, силы и духа)

🌵 57 событий/учений (дата, время начала и окончания, название, описание, задействованные сотрудники и транспорт)

🌵 105 объектов (GPS-координаты, адрес, название, ФИО, телефон и должность контактного лица)

🌵 9 транспортных средств (госномер, инвентаризационный номер, фотография, дата выпуска)

🌵 560 оборудования (название, описание, инвентаризационный номер, место нахождение и т.п.)

🌵 и многое другое…

В тот же день в 19:47 мы оповестили компанию, но ответа от них так никогда и не получили. База оставалась свободно доступной (и изменялась) вплоть до 16.05.2019. 🐏

11.05.2019 эту базу обнаружили хакеры из группировки Unistellar (про них тут: https://t.me/dataleak/1017) и немного ее «подправили». 😂🤦‍♂️

В Shodan база находилась с 19.03.2019. 👍

Открытая база Центра противопожарной защиты в момент обнаружения нами (слева) и после обнаружения хакерами из Unistellar (справа). Между этими событиями прошло 17 дней. 🤦‍♂️🤦🏻‍♂️🙈

А помните мы писали (тут: https://t.me/dataleak/961), как в открытом доступе оказались все подробности платежей в пользу ГИБДД и ФССП пользователей сайтов оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net и oplata-fssp.ruoplata-fssp.ru? 😎

На Хабре даже есть более подробная статья про эту утечку: «Сотни тысяч платежей граждан в ГИБДД и ФССП находились в открытом доступе».

Вы не поверите, но это случилось опять! Или снова. Тут с какой стороны посмотреть на эту проблему. 🤦‍♂️🤦🏻‍♂️😱

21.05.2019 тот же самый (что и первый раз) сервер Elasticsearch, с теми же самыми (плюс новые) индексами снова появляется в открытом доступе.

В первый раз, после нашего оповещения, сервер «тихо» был убран из свободного доступа 13.04.2019 около 15:20-15:45 (МСК). После этого этот IP-адрес сканировался Shodan'ом 11 раз и Elasticsearch не был доступен вплоть до 21.05.2019 15:59.

22.05.2019 в 1:25 мы оповестили владельцев о проблеме и вплоть до утра 24.05 Elasticsearch оставался открытым. 🙈

За промежуток с 01.05 по 22.05 в индексах было доступно:

✅ 127525 записей в индексе paygibdd
✅ 49627  записей в индексе shtrafov-net
✅ 162282 записей в индексе oplata-fssp
✅ 220201  записей в индексе gosoplata

Напомним, что в индексах содержалось: номер постановления о штрафе, государственный номерной знак автомобиля, номер исполнительного производства при платеже на сайте службы судебных приставов, первые и последние цифры банковских карт, через какой платёжный сервис произведена оплата и пр. 🔥

24.05 мы получили такое сообщение:

Получили Ваше письмо про открытый ElasticSearch - спасибо за информацию, базу данных закрыли. Системный администратор, повторно открывший доступ, уволен. Также юрслужба готовит к направлению в МВД по Республике Татарстан Заявление о признаках наличия в действиях системного администратора состава по 272 и 273 статьям УК РФ.

Индексы свободно доступного сервера с данными по госоплатам. Вверху – 13.04.2019, на момент первого закрытия. Внизу - 23.05.2019, перед вторым закрытием.

Пример данных из индекса paygibdd.

Пример данных из индекса gosoplata.

Пример данных из индекса oplata-fssp.

Пример данных из индекса shtrafov-net.

Клоуны, известные как «мамкины хакеры», служащие поставщиками новостей для блогеров-истеричек (https://t.me/dataleak/1051) снова вышли на связь и вывалили в свой канал документы, с пафосным сопроводительным текстом:

Всем доброго времени суток. Сегодня речь идет о данных российской инфраструктуры Ленинградской области и некоторые военные данные. Что делать с этими данными - решать вам!

По факту все три документа давно опубликованы в свободном доступе на соответствующих сайтах:

1️⃣ http://unitex-center.ru/cadets
2️⃣ http://pub-sed.lenreg.ru/publishing/Document/2332.html#document-text
3️⃣ https://pandia.ru/text/80/228/1254.php

Школьникам не следует брезговать поиском в Google, а то мамка заругает. 😂

С 29 по 31 мая в Казани на 13-ом всероссийском IT & Security Forum (ITSF) можно будет ознакомиться с решением DeviceLock DLP и сервисом DeviceLock Data Breach Intelligence. 👇

https://www.devicelock.com/ru/news/devicelock-predstavit-svoi-resheniya-i-servisy-na-itsf-2019.html

Помните, как в апреле в открытом доступе оказались подробности платежей в пользу ГИБДД и ФССП пользователей сайтов оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net и oplata-fssp.ru?

И вот уже в мае, тот же самый сервер Elasticsearch с данными той же самой системы снова оказался открытым для всего мира: 👇

https://habr.com/ru/post/454048/


Наша система DeviceLock Data Breach Intelligence обнаружила этот сервер повторно 21.05.