Alle Ihre Verbraucherkredite und persönlichen Daten „an einem Ort“…

Der Marathon der Datenlecks aus russischen Datenbanken, die von ihren Eigentümern offen gelassen wurden, geht weiter.

Dieses Mal wurde eine MongoDB-Datenbank entdeckt, die keine Authentifizierung erfordert und persönliche Daten sowie Fotos von Kreditnehmern aus den südlichen, Ural- und Wolga-Bundesregionen und deren Kreditanträgen enthält.

Haftungsausschluss: Alle Informationen unten werden ausschließlich zu Bildungszwecken veröffentlicht. Der Autor hatte keinen Zugang zu den persönlichen Daten Dritter und Unternehmen. Die Screenshots stammen entweder aus öffentlichen Quellen oder wurden dem Autor von wohlwollenden Personen zur Verfügung gestellt.

Die Datenbank, die etwa 158 GB groß war, enthielt 74 Sammlungen und laut der Suchmaschine BinaryEdge (wie man offene Datenbanken entdeckt, über Elasticsearch und MongoDB habe ich einen eigenen Artikel geschrieben), war mindestens 11 Tage lang öffentlich zugänglich. wie offene Datenbanken erkannt werden Ich habe einen separaten Artikel über Elasticsearch und MongoDB verfasst; die Daten waren mindestens 11 Tage lang öffentlich zugänglich.

Anhand indirekter Hinweise wurde eine Vermutung über den möglichen Eigentümer der Datenbank angestellt: Alle (5042) Benutzer aus der Sammlung users hatten E-Mail-Adressen auf den Domains @poslogic.pro und @finservice.pro außerdem unterschied sich die IP-Adresse der Datenbank nur um 1 von der IP-Adresse der Website www.finservice.pro.

Auf der Website www.finservice.pro geschrieben:

Die Firma Finservice ist seit 2012 tätig und gilt als führender unabhängiger Finanzmakler im Bereich POS-Finanzierung auf dem russischen Markt. Momentan ist Finservice Teil eines großen, diversifizierten Unternehmensverbundes, beschäftigt über 200 Mitarbeiter und expandiert aktiv in alle Regionen Russlands.
Wir sind der Entwickler und Rechteinhaber der führenden Plattform im Bereich POS-Finanzierung – Poslogic. Die Plattform ist mit allen führenden Banken in diesem Segment integriert und optimiert die Prozesse im Zusammenhang mit der Vergabe von Verbraucherkrediten, steigert den Umsatz von Handelsunternehmen und erfüllt alle Kundenanforderungen.

Ich habe gegoogelt, was POS-Finanzierung ist (Information von www.banki.ru):

POS-Finanzierung (POS – Point Of Sale) ist ein Bereich des Einzelhandelsgeschäfts von Banken, der die Vergabe von Krediten für bestimmte Waren direkt an Verkaufsstellen vorsieht. Dieses Geschäft gilt als hochprofitabel, aber auch als risikobehaftet. In der Regel zeichnen sich solche Kredite durch hohe Zinssätze – über 30% – aus, bieten jedoch gleichzeitig eine schnelle Entscheidungsfindung (innerhalb einer Stunde).

Auf meine E-Mails, über Facebook Messenger oder einen öffentlichen Post auf Facebook reagierte das Unternehmen nicht. Die E-Mail info@finservice.pro, die auf der Webseite angegeben ist, funktioniert überhaupt nicht, in den sozialen Medien herrscht Stillstand. Ich musste die E-Mail-Adressen der Mitarbeiter auf der Webseite suchen und ihnen schreiben. Natürlich war die Antwort ausbleibend…

Allerdings verschwand am 21. März gegen 17 Uhr (Moskaus Zeit) die Datenbank aus dem öffentlichen Zugriff. Ich möchte besonders darauf hinweisen, dass die Datenbank während der Beobachtungszeit ständig aktualisiert und mit neuen Einträgen ergänzt wurde. Beispielsweise gab es an einem Tag mehr als 50 neue Kreditanträge.

Die Datenbank enthielt:

• Über 294.000 Kreditnehmer: Vollständiger Name, Geburtsort, Geburtsdatum, Anzahl der Kinder, Anzahl der Angehörigen, Geburtsname der Mutter, verheiratet oder nicht, Bildung, Mobiltelefonnummer, Festnetznummer, E-Mail-Adresse, Registrierungsadresse, Adresse des tatsächlichen Wohnsitzes, vollständige Passdaten.

Alle Kreditnehmer stammten aus den südlichen, uralischen und wolga-uralischen Föderationskreisen (Wohnadressen).

• Über 183.000 Kreditauskünfte: Kreditbetrag, Kreditstatus, Ausgabedatum, Bank-ID, Kreditnehmer-ID, Zahlungsplan für den Kredit usw.

• Über 819.000 gescannte Dokumente: Dokumenttyp, Dateiname, Link zur JPG-Datei, Status, Datum usw.

  { 
  "_id" : ObjectId("5c925eb52fc14e00019d1907"), 
  "_type" : "FragebogenDokumentScan", 
  "doctype" : "pd_agreement", 
  "title" : "Vereinbarung zur Verarbeitung personenbezogener Daten", 
  "filename" : "1.jpg", 
  "status" : NumberInt(0), 
  "status_text" : "Hochgeladen", 
  "questionary_id" : ObjectId("5c925c8a4624cb000141cfb5"), 
  "sent" : false, 
  "required_resend" : false, 
  "scan" : "5c925eb52fc14e00019d1907.jpg", 
  "updated_at" : ISODate("2019-03-20T15:39:33.591+0000"), 
  "created_at" : ISODate("2019-03-20T15:39:33.591+0000")
  }

• Über 246.000 Fotos von Personen, die Kreditanträge eingereicht haben, aufgenommen mit Webcams an Verkaufsstellen im JPG-Format.

(Gesichter wurden für den Artikel unkenntlich gemacht)

• Über 5.000 interne Systemnutzer: Vor- und Nachname, Geburtsdatum, Benutzername und gehashtes Passwort, Mobiltelefon, E-Mail-Adressen auf Domains @poslogic.pro und @finservice.pro.

• Über 2.500 Partner (vermutlich Verkaufsstellen von Waren, für die Kredite aufgenommen wurden): Name, Bankverbindung, tatsächliche Adresse, rechtliche Adresse, Kontakte usw.

• Über 1.000 Kreditprodukte: Name, Banken-ID, Gebührenhöhe usw.

• Eine sehr kleine (862) "schwarze Liste" von Kreditnehmern.

• und viele weitere Informationen, die personenbezogene Daten enthalten.

Neuigkeiten über Datenlecks und Insider finden Sie immer auf meinem Telegram-Kanal „Datenlecks».

Quelle: habr.com