21-го апреля мы обнаружили открытую MongoDB с данными мониторинга транспорта коммунальных хозяйств г. Минска (Белоруссия).

В базе, размером 4.9 Гб, содержится такая информация, как:

✅ регистрационный номер автомобиля
✅ название коммунального хозяйства
✅ GPS-координаты автомобиля (его местоположение)
✅ скорость движения автомобиля в каждой точке фиксации
✅ время фиксации

Данные актуальны на начало апреля 2019 года. База впервые попала в Shodan - 29.11.2018.

22.04.19 мы выслали уведомление коммунальному унитарному предприятию "Центр информационных технологий Мингорисполкома", но база до сих пор находится в свободном доступе. 🤦‍♂️

Буквально сразу после выхода статьи про брошенные проекты, которые сливают данные пользователей (тут: https://t.me/dataleak/984), один из двух «зомби-проектов» прикрыл доступ к своей базе данных. 😂

База данных MongoDB проекта «Команда Путина» (putinteam.ru) находилась в открытом доступе с 29 ноября 2018 г. (по данным BinaryEdge). Наша система мониторинга обратила на нее внимание 19.04.2019 и тогда же мы выслали оповещения по всем возможным контактам, указанным на сайте проекта. Однако, никакой ответной реакции не последовало и вплоть до 25.04.2019 19:25 (МСК) база оставалась открытой. 🤦‍♂️

В базе содержалось:

✅ 1107 пользователей (адреса электронной почты, имена/фамилии, хешированные пароли, GPS-координаты, города проживания и фотографии), зарегистрировавшихся на сайте проекта.

✅ 118 подписчиков рассылки (адреса электронной почты).

Видеосюжет русской службы BBC про нелегальный рынок онлайн-пробива: 👇
https://www.youtube.com/watch?v=Zap4g4_MFiA

В дополнение к вчерашней статье: https://t.me/dataleak/987

Уважаемые подписчики, напоминаем вам про подписку на дайджест наиболее значимых утечек месяца! 🔥

Только раз в месяц, никакого спама. Если нет времени читать все публикации на канале или захотите по итогам месяца освежить память - рекомендуем подписаться. 😎

Подписаться на дайджест можно по этой ссылке: 👇
https://www.devicelock.com/ru/subscribe.html

В начале апреля нами была обнаружена свободно доступная база MongoDB с данными зуботехнической лаборатории «CAD\CAM_LAB» (cadcamlabs.ru), входящей в группу компаний «3д стоматология» (ztl.su).

В базе содержались:

✅ ФИО, телефоны, названия компаний, хешированные пароли клиентов (стоматологических клиник) лаборатории
✅ тип работ (например, «ЗТЛ №6325, Клиника Медсервис, -, Верхняя челюсть, , Ма*** Юлия Витальевна, цвет: А3, зубная формула: 14»)
✅ ФИО и адрес электронной почты исполнителя
✅ ФИО пациента
✅ статус заказа
✅ комментарии к заказу
✅ стоимость

Всего более 17 тыс. записей.

База попала в открытый доступ 02.04.2019 и была практически сразу зафиксирована нашей автоматической системой.

На высланное нами оповещение никто не ответил, но через несколько дней сервер с MongoDB исчез из открытого доступа. 🤦🏻‍♂️


Напомним случаи обнаружения данных пациентов и медицинских организаций: 🚑

1️⃣ DOC+ (ООО «Новая Медицина»): https://t.me/dataleak/841
2️⃣ Доктор рядом: https://t.me/dataleak/855
3️⃣ Лаборатория CMD: https://t.me/dataleak/892 и https://t.me/dataleak/898
4️⃣ Станции скорой медицинской помощи: https://t.me/dataleak/916
5️⃣ Лабораторная Информационная Система «Ариадна»: https://t.me/dataleak/945

В свободном доступе появился список пользователей сайта многофункционального центра предоставления государственных и муниципальных услуг в Ульяновской области - mfc.ulgov.ru.

В файле находится 453 записи, содержащие: ФИО, даты рождения, пол, адреса электронной почты, хешированные пароли, логины (иногда совпадают с email), типы доступа (администратор, модератор, пользователь, статистика и т.п.) и IP-адреса (видимо последнего входа в систему).

Иногда они возвращаются...

Буквально неделю назад мы написали, что информационный портал «ИНВЕСТИЦИОННЫЕ ПРОЕКТЫ» (investprojects.infoinvestprojects.info) закрыл доступ к свободно доступному серверу Elasticsearch: https://t.me/dataleak/976

И вот их сервер снова появился в открытом доступе. 🤦🏻‍♂️🤦‍♂️

В индексах Elasticsearch находится информация:

✅ данные (ФИО, ИНН, email, телефон) по акционерам, инвесторам и учредителям юридических лиц и ИП. 12,021,439 записей.

✅ данные  (название, ИНН, адрес, ФИО генерального директора, учредители) по ИП и юридическим лицам. 10,639,498 записей.

✅ данные (название, адрес, описание, стадия, частный или государственный) по крупным объектам промышленного и гражданского строительства. 22,252 записей.

Список пользователей сайта МФЦ Ульяновской области, про который написали вчера, оказался за 2014 год: https://pastebin.com/NvTDJN90

Спасибо читателю канала за уточнение. 👍

Вторая часть исследования «Утечки персональных данных из регулируемых государством информационных систем. Часть 2. ОнлайнИнспекция.Рф»: https://begtin.tech/pdleaks-p2-oninsp/

«По данным сайта онлайнинспекция.рф на нем рассмотрено 230 тысяч обращений граждан. В виду ошибок в настройке сайта – эти обращения индексируются поисковыми системами. В частности, поисковая система Google проиндексировала 15 тысяч обращений и при поиске, по ключевым словам, “паспорт серия” и “паспортные данные” предоставляет 6 и 70 результатов поиска соответственно. Что составляет не менее 0,5% от всего числа, проиндексированного поисковыми системами (76*100 / 15000).

Ручная выгрузка последних 13 тысяч обращений выявила более 20 обращений в которых указаны паспортные данные заявителей. Итого, по самым минимальным оценкам, на сайте раскрывается около 1100 фактов раскрытия персональных данных исходя из пропорции в 0,5% и 230 тысяч обращений.

Причиной проблемы является отсутствие или недостаточная модерация на сайте и отсутствие регулярных проверок на раскрытие персональных данных со стороны оператора. Важной проблемой является архитектура самой системы которая позволяет видеть чужие обращения.онлайнинспекция.рф на нем рассмотрено 230 тысяч обращений граждан. В виду ошибок в настройке сайта – эти обращения индексируются поисковыми системами. В частности, поисковая система Google проиндексировала 15 тысяч обращений и при поиске, по ключевым словам, “паспорт серия” и “паспортные данные” предоставляет 6 и 70 результатов поиска соответственно. Что составляет не менее 0,5% от всего числа, проиндексированного поисковыми системами (76*100 / 15000).

Ручная выгрузка последних 13 тысяч обращений выявила более 20 обращений в которых указаны паспортные данные заявителей. Итого, по самым минимальным оценкам, на сайте раскрывается около 1100 фактов раскрытия персональных данных исходя из пропорции в 0,5% и 230 тысяч обращений.

Причиной проблемы является отсутствие или недостаточная модерация на сайте и отсутствие регулярных проверок на раскрытие персональных данных со стороны оператора. Важной проблемой является архитектура самой системы которая позволяет видеть чужие обращения.»

Про первую часть мы писали тут: https://t.me/dataleak/977

Поздно ночью 27.04.2019 наша автоматизированная система обнаружила в открытом доступе сервер Elasticsearch с логами ИС издательства «МИФ» (www.mann-ivanov-ferber.ru).

Утром 28.04.2019 мы оповестили издательство о проблеме и сегодня в 08:56 получили ответ: “Большое спасибо за информацию!”. Сервер из открытого доступа исчез. 👍

В логах ИС находились токены доступа к контенту (PDF- и MP3-файлам с книгами издательства):
https://www.miflib.ru/api/books/files?access-token=********8accda81d206567559b49ae9&lib=4**&book_id=17**https://www.miflib.ru/api/books/files?access-token=********8accda81d206567559b49ae9&lib=4**&book_id=17**

🔥 Подборка самых интересных каналов про IT, хакинг и безопасность.

@webware - хакинг от новичка до профи. Только свежая и эксклюзивная информация. Offensive, Defensive, Penetration test, CTF…

@hackertoys - место, где собраны лучшие хакерские инструменты. Анонимные звонки и почта, поиск человека по фотографии, экстренное уничтожение данных, маскировка файлов, защита от подглядывания и многое другое.

@vschannel - канал Дмитрия Момота, известного в сети под псевдонимом VektorT13. Он пишет про уникализацию, антидетекты, методики отслеживания, анти-фрод системы, отпечатки браузера, железа и операционной системы.

@exploitex - информационная безопасность и хакерство. Как взламывать различные системы и защитить свои личные данные от третьих лиц.

Команда исследователей из vpnMentor обнаружила открытую базу данных Elasticsearch с данными 80 млн. домохозяйств США. Сервер Elasticsearch располагается в облаке Microsoft Azure. 🔥🔥

В индексе, размером 23.3 Гб находились такие данные, как: полные имена, пол, возраст, даты рождения, адреса (страна, город, улица, номер дома и почтовый индекс, GPS-координаты), семейное положение, доход и т.п.
Установить владельца базы данных исследователям из vpnMentor не удалось.

Мы провели собственный анализ данных из этой базы и установили предполагаемого владельца – маркетинговую компанию Need-A-Lead (needalead.com). 😎

Более того, в облаке Microsoft Azure нами был обнаружен и другой сервер с этой же базой данных, но уже чуть большего размера – 25.4 Гб.

Оба сервера находились в открытом доступе с конца февраля этого года.

Базы данных Elasticsearch с данными 80 млн. домохозяйств США.

Почитать на выходных… 😎

Третья часть исследования (про первые две тут и тут): «Утечки персональных данных из открытых источников. Электронные торговые площадки»:👇
http://files.begtin.tech/f/18ec197cd4f5481481fb/?dl=1 (PDF)

Автор пишет:

Анализ проводился в отношении 6 уполномоченных на размещение электронных аукционов площадок и затрагивает такие их разделы как:

- Реестр поставщиков на площадке Сбербанк АСТ
- Реестр аккредитованных участников площадки ZakazRf
- Реестр участников площадки РТС Тендер
- Реестр участников площадки Росэльторг
- Реестр участников Национальной электронной торговой площадки
- Реестр участников ЭТП РАД

В общей сложности из электронных торговых площадок доступно 2,2 миллиона записей с персональными данными.

На майских праздниках (а именно утром 03.05.2019) наша автоматизированная система обнаружила свободно доступный сервер Elasticsearch, содержащий данные портала медицинского туризма ИсраМедПортал (isramedportal.ru).

В открытом доступе находились данные зарегистрированных пользователей (всего 8897 человек), включая описания заболеваний (более 800 человек), фамилии и имена, даты рождения, пол, страны и города проживания, логины.

Обнаруженной информации было достаточно для попадания в личные кабинеты большинства пользователей. 🙈

Представители портала были нами немедленно уведомлены о проблеме и к 16:00 (МСК) доступ к данному серверу был «тихо» прикрыт. Сервер с базой Elasticsearch находился в открытом доступе с 20.10.2018. 🤦🏻‍♂️🤦‍♂️

В Новосибирске приговорен к лишению свободы специалист сотового оператора "Мегафон" Илья Ложкин, он признан виновным в разглашении сведений, составляющих коммерческую тайну.

В сентябре прошлого года у себя дома специалист "Мегафона" воспользовался логином и паролем для удаленного доступа к персональным данным абонентов оператора сотовой связи.

Ложкин сфотографировал экран с персональными данными (имена, фамилии, даты рождения, паспортные данные, места регистрации и информация о балансе номеров) двух абонентов и с помощью мессенджера Telegram переслал фотографии неизвестному, получив взамен 1400 рублей. 👍

Уже позже выяснилось, что персональные данные, проданные Ложкиным, принадлежали членам избирательной комиссии одного из крупных городов России.

Суд приговорил специалиста "Мегафона" к полутора годам условного лишения свободы.

Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут: 👇
https://www.devicelock.com/ru/blog/kak-v-rossii-lovyat-i-nakazyvayut-za-nezakonnuyu-torgovlyu-personalnymi-dannymi.html

Cуд Липецкой области вынес приговор 27-летней бывшей сотруднице банка, признанной виновной в совершении трех эпизодов преступлений, предусмотренных частью первой статьи 158 УК РФ (кража) и частью третьей статьи 183 УК РФ (незаконное использование сведений, составляющих банковскую тайну, без согласия их владельца).

В июне 2017 года подсудимая, являясь финансовым консультантом одного из отделений банка, с помощью служебного программного обеспечения похитила со счетов вкладчиков 14 тысяч рублей. Используя персональные данные и составляющие банковскую тайну сведения о счетах трех жителей Брянской области, она оформила перевыпуск их дебетовых карт, с помощью которых обналичила деньги.

Один из потерпевших обнаружил списание денег со своего банковского счета и обратился с заявлением в банк. Это стало поводом для проведения проверки службой собственной безопасности банка и возбуждения уголовного дела следственными органами.

Приговором суда виновной назначено наказание в виде штрафа в сумме 100 тысяч рублей.

В апреле нами был обнаружен, находящийся в открытом доступе сервер Elasticsearch, с логами сервиса проверки надежности перевозчиков barameo.rubarameo.ru.

Сервис работает по такому принципу – в систему загружаются сканы документов перевозчика (паспорт, водительское удостоверение, свидетельство о регистрации ТС, ИНН организации), производится оплата (от 50 до 400 руб.) и на выходе получается подробный отчет в формате PDF, содержащий сведения о судимости, задолженности по налогам, исполнительных производствах, выписку из ЕГРИП/ЕГРЮЛ и т.п.

К несчастью для сервиса, в открытом доступе находились все сканы документов, которые пользователи загружали в систему. 😱

Кроме того, сами отчеты и квитанции об оплате (через платежный шлюз Robocassa) были также свободно доступны. В квитанциях об оплате содержатся адреса электронной почты плательщиков – клиентов сервиса barameo.

Мы сразу же уведомили сервис о проблеме и через несколько дней сервер «тихо» исчез из открытого доступа. 😂

Однако, все отчеты, квитанции, данные проверок и сканы документов по-прежнему свободно доступны по прямым ссылкам вида: 🤦🏻‍♂️🤦‍♂️

✅ отчет в PDF: https://barameo.ru/payment-success?inv_id=60&InvId=60&out_summ=55.000000&OutSum=55.000000&crc=******2a64dea4c7d25cf8a111334c7b31cf63b68e7dbba54e73c7e607881abb&SignatureValue=******2a64dea4c7d25cf8a111334c7b31cf63b68e7dbba54e73c7e607881abb&Culture=ru&shp_clientId=******7b-6601-4cb0-af23-11084b7e5d9c

✅ квитанция об оплате: https://auth.robokassa.ru/Merchant/State/Done/******-0AAD-4739-B6EF-2CA842C38C4E-dNtZI3Fy5r

✅ результат проверки в формате JSON: https://barameo.ru/api/kyc/review/******-5ea4-4e29-b248-f56c13414521

✅ скан паспорта: http://barameo.com/api/******-c36c-4122-ac83-481f7fc57edd779163ec-90c8-40e2-9fe1-3490cb58b33f46101539-0555-4f47-92c5-87382f7e12f9dd3075cd-e780-4132-ade2-67f61159e1595c4e9a4b-bc76-4a52-9689-777cade57e7f.jpg

Север находился в открытом доступе с 17.02.2019. 😎

Пример отчета по перевозчику сервиса barameo.

Пример сканов документов, оставленных в открытом доступе сервисом barameo.