Všechny vaše spotřebitelské úvěry a osobní údaje „na jednom místě“…

Pokračujeme v maratónu únikov z ruských databáz, ktoré ich vlastníci nechali verejne prístupné.

Tentokrát bola objavená databáza MongoDB, ktorá nevyžaduje autentifikáciu, obsahujúca osobné údaje a fotografie žiadateľov o úvery z Južného, Uralického a Privolžského federálneho okruhu a všetky ich žiadosti o úvery.

Diklaymer: všetky informácie nižšie sú zverejnené výhradne na vzdelávacie účely. Autor nemal prístup k osobným údajom tretích osôb a firiem. Screenshote sú buď z verejných zdrojov, alebo boli autorovi poskytnuté dobrými dušami.

Databáza, ktorá mala veľkosť približne 158 GB, obsahovala 74 kolekcií a podľa vyhľadávača BinaryEdge (o tom, ako sa objavujú otvorené databázy údajov Elasticsearch a MongoDB som písal samostatný článok), bola vo voľnom prístupe minimálne 11 dní.

Na základe nepriamych údajov sa urobil predpoklad o možnom vlastníctve databázy: všetci (5042) používatelia z kolekcie users mali e-mailové adresy na doménach @poslogic.pro a @finservice.pro a navyše IP adresa databázy sa líšila len o 1 od IP adresy stránky www.finservice.pro.

Na webu www.finservice.pro napsáno:

Spoločnosť Finservice pôsobí od roku 2012 a je popredným nezávislým finančným brokerom v oblasti POS úverov na trhu Ruska. V súčasnosti je Finservice súčasťou veľkého multifunkčného holdingu, zamestnáva viac ako 200 pracovníkov a aktívne rozširuje svoje pôsobenie do všetkých regiónov Ruska.
Sme vývojárom a vlastníkom poprednej platformy na trhu POS úverov — Poslogic. Platforma je integrovaná so všetkými vedúcimi bankami v tomto segmente a umožňuje optimalizovať procesy súvisiace s poskytovaním spotrebiteľských úverov, zvyšovať obrat obchodných organizácií a uspokojiť akékoľvek požiadavky klientov.

Vyhľadal som, čo je to POS úverovanie (informácie z www.banki.ru):

POS úverovanie (POS — Point Of Sale) je odvetvie maloobchodného podnikania bánk, ktoré predpokladá poskytovanie úverov na určité tovary priamo v predajných miestach. Tento biznis sa považuje za vysoko ziskový, ale zároveň aj vysoko rizikový. Zvyčajne sú takéto úvery charakterizované vysokými úrokovými sadzbami — viac ako 30%, ale súčasne s rýchlym prijatím rozhodnutia (do hodiny).

Na moje e-maily, přes Facebook Messenger a veřejný příspěvek na Facebooku, společnost nereagovala. E-mail info@finservice.pro, uvedený na webu, vůbec nefunguje, na sociálních sítích je pustina. Musel jsem hledat na webu e-mail zaměstnanců a psát na něj. K žádné odpovědi samozřejmě nedošlo…

Nicméně 21. března kolem 17:00 (moskevského času) databáze zmizela z volného přístupu. Chci zvlášť upozornit, že během sledování byla databáze neustále aktualizována a doplňována novými záznamy. Například za jediný den se v ní objevilo více než 50 nových žádostí o úvěry.

V databázi bylo obsaženo:

• Více než 294 tisíc dlužníků: jméno a příjmení, místo narození, datum narození, počet dětí, počet vyživovaných osob, dívčí příjmení matky, zda je v manželství, vzdělání, číslo mobilního telefonu, číslo pevného telefonu, e-mailová adresa, adresa trvalého bydliště, adresa skutečného bydliště, úplné údaje z občanského průkazu.

Všichni dlužníci byli z Jižního, Uralu a Povolží federálních okruhů (adresy bydliště).

• Více než 183 tisíc údajů o úvěrech: výše úvěru, stav úvěru, datum poskytnutí, identifikátor banky, identifikátor dlužníka, splátkový kalendář úvěru atd.

• Více než 819 tisíc naskenovaných dokumentů: typ dokumentu, název souboru, odkaz na JPG soubor, stav, datum atd.

  { 
  "_id" : ObjectId("5c925eb52fc14e00019d1907"), 
  "_type" : "QuestionaryDocumentScan", 
  "doctype" : "pd_agreement", 
  "title" : "Dohoda o zpracování osobních údajů", 
  "filename" : "1.jpg", 
  "status" : NumberInt(0), 
  "status_text" : "Načteno", 
  "questionary_id" : ObjectId("5c925c8a4624cb000141cfb5"), 
  "sent" : false, 
  "required_resend" : false, 
  "scan" : "5c925eb52fc14e00019d1907.jpg", 
  "updated_at" : ISODate("2019-03-20T15:39:33.591+0000"), 
  "created_at" : ISODate("2019-03-20T15:39:33.591+0000")
  }

• Více než 246 tisíc fotografií lidí, kteří podali žádosti o úvěry, pořízených z webových kamer na místech prodeje, ve formátu JPG.

(tváře jsou zkresleny pro článek)

• Více než 5 tisíc interních uživatelů systému: jméno a příjmení, datum narození, přihlašovací jméno a hashované heslo, mobilní telefon, e-mailové adresy na doménách @poslogic.pro a @finservice.pro.

• Více než 2.5 tisíce partnerů (pravděpodobně místa prodeje zboží, na které byly brány úvěry): název, bankovní údaje, skutečná adresa, právní adresa, kontakty atd.

• Více než 1 tisíc úvěrových produktů: název, identifikátor banky, výše provize atd.

• Velmi malý (862) „černý seznam“ dlužníků.

• a mnoho dalších informací obsahující osobní údaje.

Novinky o úniky informací a insiderech můžete vždy najít na mém Telegramovém kanálu „Úniky informací».

Zdroj: habr.com