Medizinische Daten – , Daten zu Krediten – , jetzt sind die Daten zu Zahlungen für Bußgelder der GIBDD und Schulden aus Vollstreckungsangelegenheiten der Gerichtsvollzieher an der Reihe.
Die gute Nachricht ist, dass diese Zahlungen nicht mit der offiziellen Website der staatlichen Dienstleistungen verbunden sind. Die schlechte Nachricht ist – es gibt viele Daten, und sie sind mehr als „persönlich“.
Haftungsausschluss: Alle Informationen unten werden ausschließlich zu Bildungszwecken veröffentlicht. Der Autor hatte keinen Zugang zu persönlichen Daten Dritter oder Unternehmen. Die Informationen stammen entweder aus öffentlichen Quellen oder wurden dem Autor von anonymen, wohlwollenden Personen zur Verfügung gestellt.In der Nacht zum 12. April wurde ein Elasticsearch-Server entdeckt, der keine Authentifizierung für Verbindungen erforderte. Darüber, habe ich einen Blogbeitrag verfasst.
In den Elasticsearch-Indizes befinden sich Protokolle eines bestimmten Informationssystems (IS). Es wurde vermutet, dass dieser Server mit Websites verbunden ist, die Zahlungen für verschiedene staatliche Dienste entgegennehmen: оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net und oplata-fssp.ru.
Am Morgen des 13.04.2019 habe ich eine Benachrichtigung an die folgenden E-Mail-Adressen gesendet: support@gos-oplata.ru, support@oplata-fssp.ru, support@paygibdd.ru, aber ich erhielt (wie so oft) keine Antwort. Der Server wurde stillschweigend „abgeschaltet“ und verschwand am 13.04.2019 gegen 15:20-15:45 Uhr (MSK) aus dem offenen Zugang.
Zum Zeitpunkt der Schließung des Servers sahen die Elasticsearch-Indizes so aus:
Nun kommen wir zum Interessantesten – den persönlichen Daten. Wie ich bereits erwähnt habe, enthielten die Indizes einige Logs eines Systems. Und wie es häufig der Fall ist, waren die Logs sehr detailliert, vielleicht sogar zu detailliert.
Die Logs wurden ab dem 28.02.2019 aufbewahrt und nicht für die gesamte Laufzeit des Systems. In einigen Indizes stammten die Daten vom 17.03.2019.
Zum Beispiel konnte man anhand der Logs aus dem Index gosoplata folgendes erhalten (insgesamt 248365 ohne Fehlermeldungsprotokoll):
{
"_index": "gosoplata",
"_type": "log",
"@timestamp": "2019-03-02T20:55:02+03:00",
"message": "Buchung im GIS gefunden",
"extra": "[n 'gis_info' => unserialize('O:34:"app\models\payment\api\PenaltyInfo":10:{s:10:"billNumber";s:20:"ХХХХХ021170025955001";s:8:"billDate";s:10:"2017-04-03";s:10:"validUntil";s:10:"2017-06-03";s:6:"amount";s:9:"146030.26";s:7:"addInfo";s:1424:"Zahlung der Schuld für IP № ХХХХХ/17/ ХХХХХ -IP vom 03.04.2017 bezüglich MИХХХ Х. Х., Schulden aus Kreditverpflichtungen (außer Hypothek)///UIN32253021170025955001_IP0;Abteilung: UFK FÜR DIE NISCHEN REGIONEN (OSP NOVGORODSKY, BATECKY UND KRESTETSKY DER UFSIN RUSSLANDS FÜR DIE NISCHEN REGIONEN L/S 05501845860);Empfänger: UFK FÜR DIE NISCHEN REGIONEN (OSP NOVGORODSKY, BATECKY UND KRESTETSKY DER UFSIN RUSSLANDS FÜR DIE NISCHEN REGIONEN L/S 05501845860);Bank des Empfängers: ABTEILUNG NOVGOROD;Kontonummer des Empfängers: 40302810400001000005;INN: 5321100670;KPP: 532132002;BIC der Empfängerbank: 044959001;OKATO: 49625000;KBK: 0;idDebtsum:146540.26;ipPaymentAmount:0.00;ipOperationAmount:0.00;dataUnloadDate:2018-12-04T11:26:19.000;dataIdDate:2017-01-27;dataIdNumber:2-53/2017;dataIpRiseDate:2017-04-03;dataIpNumber: ХХХХХ/17/ХХХХХ-IP;dataIdDbtrFio:МИХХХ ХХХ ХХХ;dataIdDbtrBorn:ХХХ-09-03;dataIdDebtText:Schulden aus Kreditverpflichtungen (außer Hypothek);";s:7:"docName";s:3:"inn";s:9:"docNumber";s:12:" ХХХХХ0819584";s:9:"payStatus";s:1:"0";s:9:"quittance";s:1:"3";s:11:"amountToPay";s:9:"146030.26";}'),n]",
"context": "[n '_GET' => [],n '_POST' => [],n]"
}
}Ich habe alle sensiblen Daten mit dem Zeichen „X“ versehen. In Wirklichkeit wurden alle offen gespeichert.
Aus dem Index oplata-fssp (insgesamt 283958 ohne Fehler):
{
"_index": "oplata-fssp",
"_type": "log",
"@timestamp": "2019-02-28T22:17:24+03:00",
"extra": "[n 'request_data' => [n 'MNT_ID' => 'XXXXXX3280',n 'MNT_TRANSACTION_ID' => 'XXXXXX0795c78337a5a308',n 'MNT_OPERATION_ID' => 'XXXXXX3232',n 'MNT_AMOUNT' => '544,00',n 'MNT_CURRENCY_CODE' => 'RUB',n 'MNT_TEST_MODE' => '0',n 'MNT_SIGNATURE' => '6435224ccXXXXXX10bbc970f6479787',n 'paymentSystem_unitId' => '1686945',n 'MNT_CORRACCOUNT' => '303',n 'MNT_PAY_SYSTEM' => 'payanyway',n 'MNT_IS_REGULAR' => '',n 'MNT_FORM_METHOD' => 'POST',n 'cardnumber' => '639002********7417',n ],n 'model_attributes' => [n 'id' => 482137,n 'parent_id' => null,n 'name' => 'XXX GHALINA XXX',n 'ur' => 0,n 'birthdate' => 'XXXX-06-06',n 'doc_type' => null,n 'doc_value' => null,n 'hash' => 'XXXXXX795c78337a5a308',n 'created_at' => '2019-02-28 22:16:10',n 'form_url' => 'https://service.moneta.ru/assistant.widget? 'XXXXXX&MNT_CURRENCY_CODE=RUB&MNT_AMOUNT=544,00&MNT_DESCRIPTION=Zahlung der Schulden FSSP. Bestellung N482137 UIN: 32223088190136500007 Aktenzeichen: XXXXXX/19/XXXXXX-IP&MNT_TEST_MODE=0&'XXXXXX&MNT_SUCCESS_URL=https://oplata-fssp.ru/payment/success&MNT_FAIL_URL=https://oplata-fssp.ru/payment/fail&MNT_PAY_SYSTEM=payanyway&MNT_IS_REGULAR=&MNT_FORM_METHOD=POST&followup=true',n 'email' => 'XXXXXX@bk.ru',n 'payment_system_id' => 'moneta',n 'transaction_id' => '338533232',n 'updated_at' => '2019-02-28 22:16:16',n 'a3_order_hash' => null,n 'receipt_send' => null,n 'receipt_status_id' => null,n 'payment_status_id' => 'callback_received',n 'lead_source' => 'fssp',n ],n]",
"context": "[n '_GET' => [],n '_POST' => [n 'MNT_ID' => 'XXXXXX280',n 'MNT_TRANSACTION_ID' => 'XXXXXX795c78337a5a308',n 'MNT_OPERATION_ID' => 'XXXXXX3232',n 'MNT_AMOUNT' => '544,00',n 'MNT_CURRENCY_CODE' => 'RUB',n 'MNT_TEST_MODE' => '0',n 'MNT_SIGNATURE' => '6435224cc'XXXXXX10bbc970f6479787',n 'paymentSystem_unitId' => 'XXXXXX45',n 'MNT_CORRACCOUNT' => '303',n 'MNT_PAY_SYSTEM' => 'payanyway',n 'MNT_IS_REGULAR' => '',n 'MNT_FORM_METHOD' => 'POST',n 'cardnumber' => '639002********7417',n ],n]"
}
}Hier ist zu sehen (Wert Kartennummer), dass die vollständigen Kreditkartennummern nur durch den Zahlungsdienstanbieter (in diesem Fall moneta.ru) geschützt wurden, da die angegebene IS die Nummern nicht im Klartext übermittelte (nur die ersten 6 und die letzten 4 Ziffern der Kartennummer).
Außerdem zeigte das Protokoll, dass die offizielle Website der FSSP den Bürgern anbietet, Zahlungen über diese IS vorzunehmen: is.fssprus.ru/pay/?service=gosoplata&pay=XXXXXX/18/XXXXXX-IP. Was indirekt durch den Text am Ende der Seite bestätigt wird. oplata-fssp.ru:
Schauen wir uns nun die Bußgelder für Verkehrsverstöße an. Offensichtlich sind dafür die Indizes verantwortlich, shatrafov-net (4528 Einträge ohne Fehler) und paygibdd (140666 Einträge ohne Fehler):
{
"_index": "shtrafov-net",
"_type": "log",
"@timestamp": "2019-03-17T17:16:51+03:00",
"message": "INSERT INTO customer (doc_type, doc_value, licence_plate, vehicle_model) VALUES ('ctc', '99026XXXXXX', 'XXXXXRMX', 'LAND ROVER RANGE ROVER')",
"context": "[n '_GET' => [],n '_POST' => [n 'postdate' => '10/03/2019',n 'postnum' => '18810018180002XXXXXX',n 'postsum' => '1000',n 'divid' => '1194040',n 'uin' => '18810018180002XXXXXX',n 'regnum' => 'XXXXXRM',n 'regreg' => '1X',n 'reg' => 'XXXX34084',n 'discount' => '1',n 'discountdate' => '01/04/2019 23:59:59',n 'allfines' => '[{"Discount":"1","enableDiscount":false,"DateDecis":"2019-03-10 09:05:00","KoAPcode":"12.6","DateDiscount":"01/04/2019 23:59:59","VehicleModel":"LAND ROVER RANGE ROVER","KoAPtext":"FAHRZEUGBEDIENUNG DURCH DEN FAHRER OHNE GURT, BEFÖRDERUNG VON PASSAGIEREN OHNE GURTGURTE, WENN DAS FAHRZEUG FÜR ÖFFNENDE GURTE AUSGERÜSTET IST, SOWIE FAHRZEUGBEDIENUNG DES MOTORRADS ODER BEFÖRDERUNG VON PASSAGIEREN AUF EINE MOTORRAD OHNE HELME ODER MIT UNVERSTELLTEN HELMEN","NumPost":"18810018180002XXXXXX","kbk":"18811630020016000140","Summa":1000,"Division":1194040,"enablePics":false,"id":"18#FF474785255","SupplierBillID":"18810018180002XXXXXX","DatePost":"10/03/2019"},{"Discount":"1","enableDiscount":false,"DateDecis":"2019-03-08 14:55:00","KoAPcode":"12.9ч.2","DateDiscount":"01/04/2019 23:59:59","VehicleModel":"LAND ROVER RANGE ROVER","KoAPtext":"ÜBERSCHREITUNG DER MAXIMALEN GESCHWINDIGKEIT DES FAHRZEUGS UM MEHR ALS 20, ABER WENIGER ALS 40 KM/H","NumPost":"18810118190312XXXXXX","kbk":"18811630020016000140","Summa":500,"Division":1194010,"enablePics":true,"id":"18#18810118190312XXXXXX","SupplierBillID":"18810118190312XXXXXX","DatePost":"12/03/2019"}]',n ],n]"
}
{
"_index": "paygibdd",
"_type": "log",
"@timestamp": "2019-02-28T17:30:57+03:00",
"message": "Anfrage zur Zahlung empfangen",
"extra": "[n 'request_data' => [n 'postdate' => '02.10.2017',n 'postnum' => '188101161710029XXXXXX',n 'postsum' => '500',n 'divid' => '1192201',n 'uin' => '188101161710029XXXXXX',n 'regnum' => 'XXXXCB',n 'regreg' => '1XX',n 'reg' => '16462XXXXXX',n 'discount' => '1',n 'discountdate' => '2017-10-23 23:59:59',n 'allfines' => '[{"Discount":"0","DateDecis":"2016-12-17 02:30:00","KoAPcode":"12.26ч.1","KoAPtext":"NICHTBEFOLGUNG DES RECHTLICHEN ANWEISUNGS DES POLIZEIBEAMTEN ZUR DURCHFÜHRUNG EINES MEDIZINISCHEN TESTS","NumPost":"188104121603000XXXXXX","kbk":"18811630020016000140","Summa":"30000","Division":1188030,"enablePics":false,"id":"12#FF176064188","SupplierBillID":"188104121603000XXXXXX","DatePost":"2017-03-06","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2017-09-18 14:32:00","KoAPcode":"12.9ч.2","DateDiscount":"2017-10-23 23:59:59","KoAPtext":"ÜBERSCHREITUNG DER MAXIMALEN GESCHWINDIGKEIT DES FAHRZEUGS UM MEHR ALS 20, ABER WENIGER ALS 40 KM/H","NumPost":"188101161710029XXXXXX","kbk":"18811630020016000140","Summa":"500","Division":1192201,"enablePics":true,"id":"16#43522519023478911XXXXXX","SupplierBillID":"188101161710029XXXXXX","DatePost":"2017-10-02","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2017-11-01 04:23:00","KoAPcode":"12.9ч.2","DateDiscount":"2017-11-24 23:59:59","KoAPtext":"ÜBERSCHREITUNG DER MAXIMALEN GESCHWINDIGKEIT DES FAHRZEUGS UM MEHR ALS 20, ABER WENIGER ALS 40 KM/H","NumPost":"18810116171104XXXXXX","kbk":"18811630020016000140","Summa":"500","Division":1192201,"enablePics":true,"id":"16#44211639030358281XXXXXX","SupplierBillID":"1881011617110XXXXXX","DatePost":"2017-11-04","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2017-10-31 12:08:00","KoAPcode":"12.9ч.2","DateDiscount":"2017-11-27 23:59:59","KoAPtext":"ÜBERSCHREITUNG DER MAXIMALEN GESCHWINDIGKEIT DES FAHRZEUGS UM MEHR ALS 20, ABER WENIGER ALS 40 KM/H","NumPost":"188101161711056XXXXXX","kbk":"18811630020016000140","Summa":"500","Division":1192201,"enablePics":true,"id":"16#44236760030609331XXXXXX","SupplierBillID":"188101161711056XXXXXX","DatePost":"2017-11-05","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2018-01-27 23:46:00","KoAPcode":"12.37ч.2","DateDiscount":"2018-02-16 23:59:59","KoAPtext":"NICHTBEFOLGUNG DER VERSICHERUNGSPFLICHTEN, WIE VOM BUNDESGESETZ VORGESCHRIEBEN, SOWIE FAHRVERBOT, WENN SOLCHE VERSICHERUNGEN OFFENSICHTLICH FEHLEN","NumPost":"188102161820027XXXXXX","kbk":"18811630020016000140","Summa":"800","Division":1192200,"enablePics":false,"id":"16#4516501003986993XXXXXX","SupplierBillID":"188102161820027XXXXXX","DatePost":"2018-01-27","DateSSP":null}]',n ],n]"]}
Zusammenfassend lässt sich sagen, dass alle Zahlungsdetails öffentlich zugänglich waren: die Nummer des Bußgeldbescheids, das amtliche Kennzeichen des Fahrzeugs, die Nummer des Vollstreckungsverfahrens zur Zahlung an die Vollstreckungsbehörde, die ersten und letzten Ziffern der Kreditkarten, über welches Zahlungsgateway die Zahlung eingegangen ist, Name und Adresse des Zahlenden und vieles mehr.
Für einen ausgewählten Tag (12.04) gab es im Index (Einträge):
shtrafov-net 251
paygibdd 3821
gosoplata 20676
oplata-fssp 15277Der Suchdienst Shodan entdeckte diesen Server erstmals am 24.02.2019 im offenen Zugang.
Neuigkeiten über Datenlecks und Insider finden Sie immer auf meinem Telegram-Kanal „».
Quelle: habr.com
