পুনরায়:স্টোর, স্যামসাং, সনি সেন্টার, নাইকি, লেগো এবং স্ট্রিট বিট স্টোর থেকে গ্রাহকের ডেটা ফাঁস

গত সপ্তাহে Kommersant রিপোর্ট, যে "স্ট্রিট বিট এবং সনি সেন্টারের ক্লায়েন্ট বেসগুলি সর্বজনীন ডোমেনে ছিল," কিন্তু বাস্তবে নিবন্ধে যা লেখা আছে তার থেকে সবকিছুই অনেক খারাপ৷

আমি ইতিমধ্যে এই ফাঁসের একটি বিশদ প্রযুক্তিগত বিশ্লেষণ করেছি। টেলিগ্রাম চ্যানেলে, তাই এখানে আমরা শুধুমাত্র মূল পয়েন্টগুলি নিয়ে যাব।

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

সূচী সহ আরেকটি ইলাস্টিক সার্চ সার্ভার অবাধে উপলব্ধ ছিল:

• graylog2_0
• রিডমি
• unauth_text
• HTTP:
• graylog2_1

В graylog2_0 16.11.2018 নভেম্বর, 2019 থেকে মার্চ XNUMX পর্যন্ত লগগুলি রয়েছে এবং graylog2_1 - মার্চ 2019 থেকে 04.06.2019/XNUMX/XNUMX পর্যন্ত লগ। ইলাস্টিকসার্চে অ্যাক্সেস বন্ধ না হওয়া পর্যন্ত, রেকর্ডের সংখ্যা graylog2_1 বড় হয়েছি.

শোডান সার্চ ইঞ্জিন অনুসারে, এই ইলাস্টিকসার্চটি নভেম্বর 12.11.2018, 16.11.2018 থেকে অবাধে পাওয়া যাচ্ছে (উপরে লেখা হিসাবে, লগগুলিতে প্রথম এন্ট্রিগুলি XNUMX নভেম্বর, XNUMX তারিখে রয়েছে)।

লগে, মাঠে gl2_remote_ip IP ঠিকানা 185.156.178.58 এবং 185.156.178.62 নির্দিষ্ট করা হয়েছিল, DNS নাম সহ srv2.inventive.ru и srv3.inventive.ru:

জানিয়ে দিলাম উদ্ভাবনী খুচরা গ্রুপ (www.inventive.ru) 04.06.2019/18/25 তারিখে 22:30 (মস্কোর সময়) এ সমস্যা সম্পর্কে এবং XNUMX:XNUMX নাগাদ সার্ভারটি "নিঃশব্দে" জনসাধারণের অ্যাক্সেস থেকে অদৃশ্য হয়ে গেছে।

লগগুলি রয়েছে (সমস্ত ডেটা আনুমানিক, ডুপ্লিকেটগুলি গণনা থেকে সরানো হয়নি, তাই প্রকৃত ফাঁস হওয়া তথ্যের পরিমাণ সম্ভবত কম):

• রি:স্টোর, স্যামসাং, স্ট্রিট বিট এবং লেগো স্টোর থেকে গ্রাহকদের 3 মিলিয়নেরও বেশি ইমেল ঠিকানা
• পুনরায়:স্টোর, সনি, নাইকি, স্ট্রিট বিট এবং লেগো স্টোর থেকে গ্রাহকদের 7 মিলিয়নেরও বেশি ফোন নম্বর
• সনি এবং স্ট্রিট বিট স্টোরের ক্রেতাদের ব্যক্তিগত অ্যাকাউন্ট থেকে 21 হাজারের বেশি লগইন/পাসওয়ার্ড জোড়া।
• ফোন নম্বর এবং ইমেল সহ বেশিরভাগ রেকর্ডে পুরো নাম (প্রায়ই ল্যাটিন ভাষায়) এবং আনুগত্য কার্ড নম্বর থাকে।

Nike স্টোর ক্লায়েন্ট সম্পর্কিত লগ থেকে উদাহরণ ("X" অক্ষর দিয়ে প্রতিস্থাপিত সমস্ত সংবেদনশীল ডেটা):

"message": "{"MESSAGE":"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Arrayn(n    [contact[phone]] => +7985026XXXXn    [contact[email]] => [email protected]    [contact[channel]] => n    [contact[subscription]] => 0n)n[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 27008290n    [brand] => NIKEn)n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7985026XXXXn            [email] => [email protected]            [channel] => 0n            [subscription] => 0n        )nn)n","DATE":"31.03.2019 12:52:51"}",

এবং এখানে ওয়েবসাইটগুলিতে ক্রেতাদের ব্যক্তিগত অ্যাকাউন্ট থেকে লগইন এবং পাসওয়ার্ডগুলি কীভাবে সংরক্ষণ করা হয়েছিল তার একটি উদাহরণ sc-store.ru и street-beat.ru:

"message":"{"MESSAGE":"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 26725117n    [brand]=> SONYn)n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] ","DATE":"22.04.2019 21:29:09"}"

এই ঘটনায় IRG এর অফিসিয়াল বিবৃতি পড়া যেতে পারে এখানে, এটি থেকে উদ্ধৃতাংশ:

আমরা এই বিষয়টিকে উপেক্ষা করতে পারিনি এবং প্রতারণামূলক উদ্দেশ্যে ব্যক্তিগত অ্যাকাউন্ট থেকে ডেটার সম্ভাব্য ব্যবহার এড়াতে ক্লায়েন্টদের ব্যক্তিগত অ্যাকাউন্টের পাসওয়ার্ডগুলিকে অস্থায়ী অ্যাকাউন্টে পরিবর্তন করতে পারি। কোম্পানী street-beat.ru ক্লায়েন্টদের ব্যক্তিগত তথ্য ফাঁসের বিষয়টি নিশ্চিত করে না। উদ্ভাবনী খুচরা গ্রুপের সমস্ত প্রকল্প অতিরিক্তভাবে পরীক্ষা করা হয়েছিল। ক্লায়েন্টদের ব্যক্তিগত তথ্যের জন্য কোন হুমকি সনাক্ত করা হয়নি।

এটা খারাপ যে IRG কী ফাঁস হয়েছে এবং কী হয়নি তা বের করতে পারে না। স্ট্রিট বিট স্টোর ক্লায়েন্ট সম্পর্কিত লগ থেকে এখানে একটি উদাহরণ দেওয়া হল:

"message": "{"MESSAGE":"'DATA' => ['URI' => /local/components/multisite/order/ajax.php,'МЕТОД ЗАПРОСА' = contact,'ДАННЫЕ POST' = Arrayn(n    [contact[phone]] => 7915545XXXXn)n,'ДАННЫЕ  GET' =nttArrayn(n    [digital_id] => 27016686n    [brand] => STREETBEATn)n,'ОТВЕТ СЕРВЕРА' = 'Код ответа - '200,'RESPONCE' = stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7915545XXXXn            [email] => [email protected]","Дата":"01.04.2019 08:33:48"}",

যাইহোক, আসুন সত্যিই খারাপ খবরের দিকে এগিয়ে যাই এবং ব্যাখ্যা করি কেন এটি IRG ক্লায়েন্টদের ব্যক্তিগত ডেটা ফাঁস।

আপনি যদি এই অবাধে উপলব্ধ ইলাস্টিকসার্চের সূচীগুলি ঘনিষ্ঠভাবে দেখেন তবে আপনি তাদের মধ্যে দুটি নাম লক্ষ্য করবেন: রিডমি и unauth_text. এটি অনেকগুলি র‍্যানসমওয়্যার স্ক্রিপ্টগুলির একটির একটি বৈশিষ্ট্যযুক্ত চিহ্ন৷ এটি বিশ্বজুড়ে 4 হাজারেরও বেশি ইলাস্টিকসার্চ সার্ভারকে প্রভাবিত করেছে। বিষয়বস্তু রিডমি এই মত দেখাচ্ছে:

"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"

আইআরজি লগ সহ সার্ভারটি অবাধে অ্যাক্সেসযোগ্য ছিল, একটি র্যানসমওয়্যার স্ক্রিপ্ট অবশ্যই ক্লায়েন্টদের তথ্যে অ্যাক্সেস অর্জন করেছিল এবং এটি যে বার্তাটি রেখেছিল তার অনুসারে, ডেটা ডাউনলোড করা হয়েছিল।

উপরন্তু, আমার কোন সন্দেহ নেই যে এই ডাটাবেসটি আমার আগে পাওয়া গেছে এবং ইতিমধ্যে ডাউনলোড করা হয়েছে। আমি এমনকি বলব যে আমি এই বিষয়ে নিশ্চিত। এই ধরনের খোলা ডাটাবেসগুলি উদ্দেশ্যমূলকভাবে অনুসন্ধান করা এবং পাম্প করা হয় এমন কোনও গোপনীয়তা নেই।

তথ্য ফাঁস এবং অভ্যন্তরীণ সম্পর্কে খবর সর্বদা আমার টেলিগ্রাম চ্যানেলে পাওয়া যাবে "তথ্য ফাঁস" https://t.me/dataleak.

উত্স: www.habr.com