Husk, jeg og på min egen , hvordan detaljer om betalinger til GIBDD og FSSP fra brugerne af hjemmesiderne oplatagibdd.rf, paygibdd.ru, gos-oplata.ru, shtrafov.net og oplata-fssp.ru?
Bare kom ikke til at grine, det er slet ikke en joke — den samme server med data fra det samme system var igen åben for hele verden.
Nå, lad os komme i gang med at undersøge...
Ansvarsfraskrivelse: al information nedenfor udgives kun til uddannelsesmæssige formål. Forfatteren har ikke fået adgang til personlige data om tredjeparter og virksomheder. Oplysningerne er enten hentet fra offentlige kilder eller blevet givet til forfatteren af anonyme velvillige personer.Først lidt om tidslinjen for begivenhederne:
- 12.04.2019 (om natten) blev en Elasticsearch-server fundet, der ikke krævede autentificering for forbindelse.
- 13.04.2019 (om morgenen) blev ejeren af serveren varslet.
- 13.04.2019 (om dagen) blev serveren "stille" fjernet fra offentlig adgang.
På tidspunktet for den første lukning så Elasticsearch-indekserne således ud:
Og den 21.05.2019 omkring kl. 16:00 (MSK) dukkede den samme Elasticsearch-server, med de samme (plus nye) indekser, igen op i offentlig adgang:
Jeg kunne ikke tro mine egne øjne, da jeg så (lige efter mit oplæg på PHDays om at opdage åbne databaser) en notifikation i min mail fra vores . For at være ærlig var min første tanke, at det var en slags systemfejl.
Men nej, det var ikke en fejl, og efter at have tjekket alt manuelt, sendte jeg kl. 01:25 den 22.05.2019 igen en varsling til de samme adresser som første gang.
Fra tidspunktet for den første lukning blev denne server scannet af Shodan 11 gange, og frem til den 21. maj var Elasticsearch på den skjult.
Først den 24.05.2019 om morgenen forsvandt denne Elasticsearch igen fra offentlig adgang for anden gang. I mellemtiden var indekserne vokset betydeligt:
Og hvis vi ser på dataene (kun væsentlig information, der indeholder personoplysninger) i indekserne for perioden fra 1. til 22. maj, ser billedet således ud:
- 127,525 poster i indekset paygibdd
- 49,627 poster i indekset shtrafov-net
- 162,282 poster i indekset oplata-fssp
- 220,201 poster i indekset gosoplata
Eksempel på data fra indekset gosoplata:
Eksempel på data fra indekset paygibdd:
Og prikken over i'et blev et brev fra en af de adresser, som jeg sendte varslinger til:
Vi har modtaget dit brev om den åbne ElasticSearch — tak for informationen, databasen er lukket. Systemadministratoren, der genåbnede adgangen, er blevet fyret. Juridisk afdeling forbereder en anklage i forhold til MVD i Republika Tatarstan for tegn på overtrædelser i artikel 272 og 273 i den russiske straffelov.
Nyheder om informationslækager og insidere kan altid findes på min Telegram-kanal "»: .
Kilde: habr.com
