Изтичане на клиентски данни от магазини re:Store, Samsung, Sony Centre, Nike, LEGO и Street Beat

Миналата седмица Комерсант съобщава, че „клиентските бази на Street Beat и Sony Center са били публично достояние“, но в действителност всичко е много по-лошо от написаното в статията.

Вече направих подробен технически анализ на това изтичане. в канала на Telegram, така че тук ще разгледаме само основните точки.

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

Друг Elasticsearch сървър с индекси изглежда е свободно достъпен:

• graylog2_0
• чета
• unath_text
• Http:
• graylog2_1

В graylog2_0 съдържаше регистрационни файлове от 16.11.2018 ноември 2019 г. до март XNUMX г. и в graylog2_1 – регистрационни файлове от март 2019 г. до 04.06.2019 г. Докато достъпът до Elasticsearch бъде затворен, броят на записите в graylog2_1 нарасна.

Според търсачката Shodan този Elasticsearch е свободно достъпен от 12.11.2018 ноември 16.11.2018 г. (както е написано по-горе, първите записи в регистрационните файлове са с дата XNUMX ноември XNUMX г.).

В трупите, в полето gl2_remote_ip Посочени са IP адреси 185.156.178.58 и 185.156.178.62 с DNS имена srv2.inventive.ru и srv3.inventive.ru:

уведомих Inventive Retail Group (www.inventive.ru) за проблема на 04.06.2019 г. в 18:25 (московско време) и до 22:30 сървърът „тихо“ изчезна от публичен достъп.

Съдържащите се регистрационни файлове (всички данни са приблизителни, дубликатите не са премахнати от изчисленията, така че обемът на истинската изтекла информация най-вероятно е по-малък):

• повече от 3 милиона имейл адреса на клиенти от магазини re:Store, Samsung, Street Beat и Lego
• повече от 7 милиона телефонни номера на клиенти от магазини re:Store, Sony, Nike, Street Beat и Lego
• повече от 21 хиляди двойки вход/парола от лични акаунти на купувачи на магазини Sony и Street Beat.
• повечето записи с телефонни номера и имейл също съдържаха пълни имена (често на латиница) и номера на карти за лоялност.

Пример от дневника, свързан с клиента на Nike store (всички чувствителни данни са заменени със знаци „X“):

"message": "{"MESSAGE":"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Arrayn(n    [contact[phone]] => +7985026XXXXn    [contact[email]] => [email protected]    [contact[channel]] => n    [contact[subscription]] => 0n)n[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 27008290n    [brand] => NIKEn)n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7985026XXXXn            [email] => [email protected]            [channel] => 0n            [subscription] => 0n        )nn)n","DATE":"31.03.2019 12:52:51"}",

И ето пример за това как се съхраняват влизания и пароли от лични акаунти на купувачи на уебсайтове sc-store.ru и street-beat.ru:

"message":"{"MESSAGE":"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 26725117n    [brand]=> SONYn)n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] ","DATE":"22.04.2019 21:29:09"}"

Можете да прочетете официалното изявление на IRG относно този инцидент тук, откъс от него:

Не можехме да пренебрегнем този момент и сменихме паролите за личните акаунти на клиентите на временни, за да избегнем възможното използване на данни от лични акаунти за измамни цели. Компанията не потвърждава изтичане на лични данни на клиенти на street-beat.ru. Всички проекти на Inventive Retail Group бяха допълнително проверени. Не са открити заплахи за личните данни на клиентите.

Лошо е, че IRG не може да разбере какво е изтекло и какво не. Ето пример от дневника, свързан с клиента на магазина Street Beat:

"message": "{"MESSAGE":"'DATA' => ['URI' => /local/components/multisite/order/ajax.php,'МЕТОД ЗАПРОСА' = contact,'ДАННЫЕ POST' = Arrayn(n    [contact[phone]] => 7915545XXXXn)n,'ДАННЫЕ  GET' =nttArrayn(n    [digital_id] => 27016686n    [brand] => STREETBEATn)n,'ОТВЕТ СЕРВЕРА' = 'Код ответа - '200,'RESPONCE' = stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7915545XXXXn            [email] => [email protected]","Дата":"01.04.2019 08:33:48"}",

Нека обаче да преминем към наистина лошите новини и да обясним защо става въпрос за изтичане на лични данни на клиенти на IRG.

Ако се вгледате внимателно в индексите на този свободно достъпен Elasticsearch, ще забележите две имена в тях: чета и unath_text. Това е характерен знак за един от многото скриптове за ransomware. Той засегна повече от 4 хиляди Elasticsearch сървъра по целия свят. Съдържание чета изглежда така:

"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"

Докато сървърът с IRG регистрационни файлове беше свободно достъпен, скрипт за рансъмуер определено получи достъп до информацията на клиентите и според съобщението, което остави, данните бяха изтеглени.

Освен това не се съмнявам, че тази база данни е намерена преди мен и вече е изтеглена. Дори бих казал, че съм сигурен в това. Не е тайна, че такива отворени бази данни целенасочено се търсят и изпомпват.

Новини за изтичане на информация и вътрешни лица винаги можете да намерите в моя канал в Telegram "Течове на информация" https://t.me/dataleak.

Източник: www.habr.com