Более миллиона кредитных историй россиян нашлись в открытом доступе
Произошло это в результате ошибки в конфигурации базы данных на одном из серверов, предположительно принадлежавшем микрофинансовой организации
Usolie.info
Сейчас брешь закрыта, но из-за того, что данные были доступны для свободного скачивания долгое время, они могли быть украдены злоумышленниками
Независимый исследователь по кибербезопасности, руководитель проекта Security Discovery Боб Дяченко сообщил в среду вечером, 16 октября, в своем Twitter об обнаруженном сервере онлайн-кредитора, на котором находились кредитные истории более миллиона россиян, полученные из бюро кредитных историй (БКИ) «Эквифакс», а также c данными сотовых операторов.
Изданию «Коммерсантъ» Дяченко пояснил, что обнаружил открытую СУБД MongoDB 10 октября, но она была проиндексирована специализированными поисковиками вроде Shodan или BinaryEdge еще 28 августа. Владелец сервера не реагировал на попытки с ним связаться.
Дяченко сообщил о проблеме в Бюро кредитных историй, после чего база данных была закрыта. Поскольку поисковики проиндексировали ее давно, то шансы, что ее кто-либо успел скачать, по его мнению, высокие.
“Коммерсантъ” изучил информацию, которая потенциально могла оказаться в руках злоумышленников. Название базы данных отсылает к микрофинансовой компании «ГринМани», выдававшей онлайн-займы. IP-адрес сервера ведет на служебную страницу сайта компании, использовавшуюся для тестирования. База данных содержит 29 коллекций (директорий). В базе есть данные нескольких сторонних сервисов для оценки заемщиков микрофинансовых организаций, ЕСИА и сотовых операторов.
Эта масштабная утечка информации, относящихся к персональной тайне, – уже третья по счёту за последний месяц.
3 октября мы сообщали о том, что данные 60 миллионов держателей карт Сбербанка оказались на чёрном рынке.
Сам банк, комментируя ситуацию, сначала заявил, что на самом деле речь шла только о данных 200 держателей карт, впоследствии это число выросло до 5000.
Через несколько дней в открытом доступе оказались персональные данные почти 9 миллионов клиентов «Билайн».
В одном из расследований «Прецедента» корреспондент программы Виктор Бобровников в целях журналистского эксперимента зарегистрировал ИП и доказал, что налоговая служба «сливает» персональные данные граждан, которые становятся индивидуальными предпринимателями.
Не самая крупная утечка
В 2019 г. в России произошло значительное количество утечек персональных данных, и случай с «Госуслугами» – далеко не самый серьезный. К примеру, в начале октября 2019 г. Ашот Оганесян обнаружил в Сети данные о 60 млн клиентах Сбербанка.
Алексей Орехов, Honeywell: Как выбрать оптимальный сканер штрих-кодов
Ритейл
База данных предлагалась всем желающим за определенную плату и содержала подробные персональные данные владельцев кредитных карт, включая ФИО, паспортные данные, а также всю информацию о кредитных картах клиента и операциях по ним, включая кредитный лимит и неиспользованный лимит. Данная утечка была признана крупнейшей в истории российского банковского сектора
В конце октября 2019 г. произошла еще одна утечка, и снова в Сбербанке. На этот раз архив состоял из 1 млн строк, по одной на каждого клиента, но в дополнение к базовой банковской информации он содержал еще и последние записи разговора клиентов с техподдержкой банка. Это означает, что Сбербанк допустил утечку биометрии, образцов голоса, своих пользователей. К слову, банк отрицал факт утечки, но подлинность части содержащейся в БД информации была подтверждена независимыми специалистами.
В середине октября 2019 г. CNews сообщал о том, что в течение нескольких месяцев в свободном доступе находились данные о кредитных историях россиян. Утекшая в интернет база данных предположительно принадлежала микрофинансовой организации «ГринМани» и содержала сведения, предоставленные бюро кредитных историй «Эквифакс» и «Объединенным кредитным бюро». Также утечке подверглись сведения об абонентах операторов «Мегафон» и МТС, что стало дополнением к глобальному распространению информации о клиентах «Билайна».
Утечка в «Билайне» произошла 7 октября 2019 г. В свободном доступе оказалась БД с адресами, телефонами и ФИО абонентов проводного интернета этого оператора. Были скомпрометированы персональные данные 2 млн россиян, и сотрудники редакции CNews подтвердили подлинность некоторых из них.
Очередная утечка в России
В свободном доступе в интернете оказалась информация десятков тысяч пользователей портала «Госуслуги». Персональные данные стали доступны всем желающим в результате утечки.
О проблеме, как пишет «Коммерсант», сообщил основатель российской компании DeviceLock, занимающейся вопросами информационной безопасности, Ашот Оганесян. Он отметил, что все утекшие данные можно было без труда скачать на одном из форумов, специализирующихся на распространении подобного рода информации.
Ашот Оганесян сказал, что база данных содержала сведения о 28 тыс. клиентов «Госуслуг», проживающих, предположительно, в Ханты-Мансийском автономном округе. В базе, оказавшейся в свободном доступе в результате ошибки в конфигурации Elasticsearch-сервера, на котором она располагалась, содержались ФИО клиентов, их ИНН, номера телефонов СНИЛС, адреса электронной почты и другая персональная информация, включая сведения о наличии детей. В дополнение к этому, по словам Оганесяна, в Сеть утекли еще и токены авторизации этих пользователей на портале, которые могли обеспечить третьим лицам несанкционированный доступ к личным кабинетам этих людей. На момент публикации материала информация о пригодности токенов для доступа к аккаунтам не была подтверждена.
