Medizinische Daten – , Daten zu Krediten – , diesmal sind die Daten zu Zahlungen von Bußgeldern der GIBDD und offenen Forderungen von Vollstreckungsbehörden dran.
Die gute Nachricht ist, dass diese Zahlungen nicht mit der offiziellen Website von Госуслуг verbunden sind. Die schlechte Nachricht ist, dass es viele Daten gibt und sie mehr als nur "personenbezogen" sind.
Haftungsausschluss: Alle Informationen, die nachfolgend veröffentlicht werden, dienen ausschließlich Bildungszwecken. Der Autor hat keinen Zugang zu personenbezogenen Daten Dritter und Unternehmen erhalten. Die Informationen stammen entweder aus öffentlichen Quellen oder wurden dem Autor von anonymen Wohlwollenden zur Verfügung gestellt.In der Nacht vom 12. April wurde ein Elasticsearch-Server entdeckt, der keine Authentifizierung für die Verbindung erforderte. Über das, habe ich einen Blogbeitrag geschrieben.
In den Elasticsearch-Indizes waren Protokolle eines bestimmten Informationssystems (IS) enthalten. Es wurde angenommen, dass dieser Server mit Websites verbunden ist, die Zahlungen für verschiedene Staatsdienste akzeptieren: оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net und oplata-fssp.ru.
Am Morgen des 13.04.2019 habe ich eine Benachrichtigung an folgende E-Mail-Adressen gesendet: support@gos-oplata.ru, support@oplata-fssp.ru, support@paygibdd.ru, aber (wie es oft der Fall ist) habe ich keine Antwort erhalten. Der Server wurde leise "geschlossen" und verschwand am 13.04.2019 gegen 15:20-15:45 (MSK) aus dem öffentlichen Zugang.
Zum Zeitpunkt der Schließung des Servers sahen die Elasticsearch-Indizes so aus:
Jetzt kommen wir zum Interessantesten – den personenbezogenen Daten. Wie ich bereits erwähnt habe, waren in den Indizes Protokolle eines bestimmten IS enthalten. Und wie es oft der Fall ist, waren die Protokolle sehr detailliert, sogar zu detailliert.
Die Protokolle wurden ab dem 28.02.2019 gespeichert, nicht über den gesamten Zeitraum der Betriebszeit des IS. In einigen Indizes waren die Daten ab dem 17.03.2019.
Zum Beispiel konnten aus den Protokollen des Index gosoplata folgendes abgerufen werden (insgesamt 248365, ohne Fehlermeldungen):
{
"_index": "gosoplata",
"_type": "log",
"@timestamp": "2019-03-02T20:55:02+03:00",
"message": "Buchung in GIS gefunden",
"extra": "[n 'gis_info' => unserialize('O:34:"app\models\payment\api\PenaltyInfo":10:{s:10:"billNumber";s:20:"ХХХХХ021170025955001";s:8:"billDate";s:10:"2017-04-03";s:10:"validUntil";s:10:"2017-06-03";s:6:"amount";s:9:"146030.26";s:7:"addInfo";s:1424:"Zahlung der Schulden nach IP Nr. ХХХХХ/17/ ХХХХХ -IP vom 03.04.2017 bezüglich MИХХХ Х. Х., Schulden in Kreditraten (außer Hypothek)////UIN32253021170025955001_IP0;Abteilung: UFK FÜR DIE REGION NOWGOROD (OSP NOWGOROD, BATEZKO UND KRESTETSKY RAJON UFSIN RUSSLANDS FÜR DIE REGION NOWGOROD L/S 05501845860);Empfänger: UFK FÜR DIE REGION NOWGOROD (OSP NOWGOROD, BATEZKO UND KRESTETSKY RAJON UFSIN RUSSLANDS FÜR DIE REGION NOWGOROD L/S 05501845860);Bank des Empfängers: ABTEILUNG NOWGOROD;Kontonummer des Empfängers: 40302810400001000005;INN: 5321100670;KPP: 532132002;BIC der Bank des Empfängers: 044959001;OKATO: 49625000;KBK: 0;idDebtsum:146540.26;ipPaymentAmount:0.00;ipOperationAmount:0.00;dataUnloadDate:2018-12-04T11:26:19.000;dataIdDate:2017-01-27;dataIdNumber:2-53/2017;dataIpRiseDate:2017-04-03;dataIpNumber: ХХХХХ/17/ХХХХХ-IP;dataIdDbtrFio:МИХХХ ХХХ ХХХ;dataIdDbtrBorn:ХХХ-09-03;dataIdDebtText:Schulden in Kreditraten (außer Hypothek);";s:7:"docName";s:3:"inn";s:9:"docNumber";s:12:" ХХХХХ0819584";s:9:"payStatus";s:1:"0";s:9:"quittance";s:1:"3";s:11:"amountToPay";s:9:"146030.26";}'),n]",
"context": "[n '_GET' => [],n '_POST' => [],n]"
}
}Ich habe alle sensiblen Daten mit dem Zeichen „X“ ersetzt. In Wirklichkeit wurden sie offen gespeichert.
Aus dem Index oplata-fssp (insgesamt 283958 einschließlich Fehler):
{
"_index": "oplata-fssp",
"_type": "log",
"@timestamp": "2019-02-28T22:17:24+03:00",
"extra": "[n 'request_data' => [n 'MNT_ID' => 'ХХХХХ3280',n 'MNT_TRANSACTION_ID' => ''ХХХХХ0795c78337a5a308',n 'MNT_OPERATION_ID' => ''ХХХХХ 3232',n 'MNT_AMOUNT' => '544.00',n 'MNT_CURRENCY_CODE' => 'RUB',n 'MNT_TEST_MODE' => '0',n 'MNT_SIGNATURE' => '6435224ccХХХХХХХ10bbc970f6479787',n 'paymentSystem_unitId' => '1686945',n 'MNT_CORRACCOUNT' => '303',n 'MNT_PAY_SYSTEM' => 'payanyway',n 'MNT_IS_REGULAR' => '',n 'MNT_FORM_METHOD' => 'POST',n 'cardnumber' => '639002********7417',n ],n 'model_attributes' => [n 'id' => 482137,n 'parent_id' => null,n 'name' => 'ПОХХХ ГАЛИНА ГХХХ',n 'ur' => 0,n 'birthdate' => 'ХХХХ-06-06',n 'doc_type' => null,n 'doc_value' => null,n 'hash' => ''ХХХХХ795c78337a5a308',n 'created_at' => '2019-02-28 22:16:10',n 'form_url' => 'https://service.moneta.ru/assistant.widget? 'ХХХХХ&MNT_CURRENCY_CODE=RUB&MNT_AMOUNT=544.00&MNT_DESCRIPTION=Zahlung der Schulden beim FSSP. Bestellung N482137 UIN: 32223088190136500007 Aktenzeichen: ХХХХХХ/19/ХХХХХ-ИП&MNT_TEST_MODE=0&'ХХХХХ &MNT_SUCCESS_URL=https://oplata-fssp.ru/payment/success&MNT_FAIL_URL=https://oplata-fssp.ru/payment/fail&MNT_PAY_SYSTEM=payanyway&MNT_IS_REGULAR=&MNT_FORM_METHOD=POST&followup=true',n 'email' => ''ХХХХХ@bk.ru',n 'payment_system_id' => 'moneta',n 'transaction_id' => '338533232',n 'updated_at' => '2019-02-28 22:16:16',n 'a3_order_hash' => null,n 'receipt_send' => null,n 'receipt_status_id' => null,n 'payment_status_id' => 'callback_received',n 'lead_source' => 'fssp',n ],n]",
"context": "[n '_GET' => [],n '_POST' => [n 'MNT_ID' => ''ХХХХХ280',n 'MNT_TRANSACTION_ID' => ''ХХХХХ795c78337a5a308',n 'MNT_OPERATION_ID' => ''ХХХХХ3232',n 'MNT_AMOUNT' => '544.00',n 'MNT_CURRENCY_CODE' => 'RUB',n 'MNT_TEST_MODE' => '0',n 'MNT_SIGNATURE' => '6435224cc'ХХХХХ10bbc970f6479787',n 'paymentSystem_unitId' => ''ХХХХХ45',n 'MNT_CORRACCOUNT' => '303',n 'MNT_PAY_SYSTEM' => 'payanyway',n 'MNT_IS_REGULAR' => '',n 'MNT_FORM_METHOD' => 'POST',n 'cardnumber' => '639002********7417',n ],n]"
}
}Hier sieht man (Wert Kartennummer), dass die vollständigen Kreditkartennummern und deren Besitzer nur durch die Tatsache geschützt wurden, dass das Zahlungsgateway (in diesem Fall moneta.ru) diese Nummern im offenen Format nicht übermittelte (nur die ersten 6 und die letzten 4 Ziffern der Kartennummer).
Es war auch aus den Protokollen ersichtlich, dass die offizielle Website des FSSP den Bürgern anbietet, Zahlungen über dieses IS zu tätigen: is.fssprus.ru/pay/?service=gosoplata&pay=ХХХХХХ/18/ХХХХХХ-IP. Dies wird indirekt durch den Text ganz unten auf der Webseite bestätigt. oplata-fssp.ru:
Nun schauen wir uns an, was mit den Bußgeldern für Verkehrsverstöße ist. Offensichtlich sind dafür die Indizes zuständig shatrafov-net (4528 Datensätze ohne Fehler) und paygibdd (140666 Datensätze ohne Fehler):
{
"_index": "shtrafov-net",
"_type": "log",
"@timestamp": "2019-03-17T17:16:51+03:00",
"message": "EINFÜGEN IN customer (doc_type, doc_value, licence_plate, vehicle_model) VALUES ('ctc', '99026ХХХХХ', 'УХХХРМХХ', 'LAND ROVER RANGE ROVER')",
"context": "[n '_GET' => [],n '_POST' => [n 'postdate' => '10/03/2019',n 'postnum' => '18810018180002ХХХХХХ',n 'postsum' => '1000',n 'divid' => '1194040',n 'uin' => '18810018180002ХХХХХХ',n 'regnum' => 'УХХХРМ',n 'regreg' => '1Х',n 'reg' => 'ХХХХХ34084',n 'discount' => '1',n 'discountdate' => '01/04/2019 23:59:59',n 'allfines' => '[{"Discount":"1","enableDiscount":false,"DateDecis":"2019-03-10 09:05:00","KoAPcode":"12.6","DateDiscount":"01/04/2019 23:59:59","VehicleModel":"LAND ROVER RANGE ROVER","KoAPtext":"BETRIEB EINES FAHRZEUGS DURCH EINEN FAHRER, DER NICHT ANGEGURT IST, TRANSPORT VON PASSAGIEREN, DIE NICHT ANGEGURT SIND, WENN DAS FAHRZEUG GURTE VORSIEHT, UND DAS FAHREN EINES MOTORRADS ODER DER TRANSPORT VON PASSAGIEREN AUF EINEM MOTORRAD OHNE HELME ODER MIT UNGESCHLOSSENEN HELMEN","NumPost":"18810018180002ХХХХХХ","kbk":"18811630020016000140","Summa":1000,"Division":1194040,"enablePics":false,"id":"18#FF474785255","SupplierBillID":"18810018180002ХХХХХХ","DatePost":"10/03/2019"},{"Discount":"1","enableDiscount":false,"DateDecis":"2019-03-08 14:55:00","KoAPcode":"12.9ч.2","DateDiscount":"01/04/2019 23:59:59","VehicleModel":"LAND ROVER RANGE ROVER","KoAPtext":"ÜBERSCHREITUNG DER ZULÄSSIGEN GESCHWINDIGKEIT UM MEHR ALS 20, ABER WENIGER ALS 40 KM/H","NumPost":"18810118190312ХХХХХХ","kbk":"18811630020016000140","Summa":500,"Division":1194010,"enablePics":true,"id":"18#18810118190312ХХХХХХ","SupplierBillID":"18810118190312ХХХХХХ","DatePost":"12/03/2019"}]',n ],n]"
}
{
"_index": "paygibdd",
"_type": "log",
"@timestamp": "2019-02-28T17:30:57+03:00",
"message": "Eingehende Zahlungsanfrage",
"extra": "[n 'request_data' => [n 'postdate' => '02.10.2017',n 'postnum' => '188101161710029ХХХХХ',n 'postsum' => '500',n 'divid' => '1192201',n 'uin' => '188101161710029ХХХХХ',n 'regnum' => 'XХХХCB',n 'regreg' => '1ХХ',n 'reg' => '16462ХХХХХ',n 'discount' => '1',n 'discountdate' => '2017-10-23 23:59:59',n 'allfines' => '[{"Discount":"0","DateDecis":"2016-12-17 02:30:00","KoAPcode":"12.26ч.1","KoAPtext":"NICHTBEFOLGUNG DES RECHTLICHEN ANWEISUNGS DES POLIZEIBEAMTEN ZUR DURCHFÜHRUNG EINER MEDIZINISCHEN UNTERSUCHUNG ZU RAUSCHGIFT","NumPost":"188104121603000ХХХХХ","kbk":"18811630020016000140","Summa":"30000","Division":1188030,"enablePics":false,"id":"12#FF176064188","SupplierBillID":"188104121603000ХХХХХ","DatePost":"2017-03-06","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2017-09-18 14:32:00","KoAPcode":"12.9ч.2","DateDiscount":"2017-10-23 23:59:59","KoAPtext":"ÜBERSCHREITUNG DER ZULÄSSIGEN GESCHWINDIGKEIT UM MEHR ALS 20, ABER WENIGER ALS 40 KM/H","NumPost":"188101161710029ХХХХХ","kbk":"18811630020016000140","Summa":"500","Division":1192201,"enablePics":true,"id":"16#43522519023478911ХХХХХ","SupplierBillID":"188101161710029ХХХХХ","DatePost":"2017-10-02","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2017-11-01 04:23:00","KoAPcode":"12.9ч.2","DateDiscount":"2017-11-24 23:59:59","KoAPtext":"ÜBERSCHREITUNG DER ZULÄSSIGEN GESCHWINDIGKEIT UM MEHR ALS 20, ABER WENIGER ALS 40 KM/H","NumPost":"18810116171104ХХХХХ","kbk":"18811630020016000140","Summa":"500","Division":1192201,"enablePics":true,"id":"16#44211639030358281ХХХХХ","SupplierBillID":"1881011617110ХХХХХ","DatePost":"2017-11-04","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2017-10-31 12:08:00","KoAPcode":"12.9ч.2","DateDiscount":"2017-11-27 23:59:59","KoAPtext":"ÜBERSCHREITUNG DER ZULÄSSIGEN GESCHWINDIGKEIT UM MEHR ALS 20, ABER WENIGER ALS 40 KM/H","NumPost":"188101161711056ХХХХХ","kbk":"18811630020016000140","Summa":"500","Division":1192201,"enablePics":true,"id":"16#44236760030609331ХХХХХ","SupplierBillID":"188101161711056ХХХХХ","DatePost":"2017-11-05","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2018-01-27 23:46:00","KoAPcode":"12.37ч.2","DateDiscount":"2018-02-16 23:59:59","KoAPtext":"NICHTERFÜLLUNG DER VON DER BUNDESGESETZGEBUNG VORGESCHRIEBENEN VERPFLICHTUNGEN FÜR DAS KRAFTFAHRZEUG(VERSICHERUNG), WENN DIES FUTTER MANGELHAFTE IST","NumPost":"188102161820027ХХХХХ","kbk":"18811630020016000140","Summa":"800","Division":1192200,"enablePics":false,"id":"16#4516501003986993ХХХХХ","SupplierBillID":"188102161820027ХХХХХ","DatePost":"2018-01-27","DateSSP":null}]',n ],n]",
Zusammenfassend lässt sich sagen, dass alle Details zu den Zahlungen öffentlich zugänglich waren: die Nummer des Bußgeldbescheids, das amtliche Kennzeichen des Fahrzeugs, die Nummer des Vollstreckungsverfahrens bei der Zahlung zugunsten der Justizvollzugsbehörde, die ersten und letzten Ziffern der Kreditkarten, über welches Zahlungsgateway die Zahlung erfolgt ist, die Namen und Kontaktdaten des Zahlers und vieles mehr.
Für einen gewählten Tag (12.04) waren in den Indizes (Einträge) zu finden:
shtrafov-net 251
paygibdd 3821
gosoplata 20676
oplata-fssp 15277Die Suchmaschine Shodan hat diesen Server erstmals am 24.02.2019 öffentlich entdeckt.
Nachrichten über Datenlecks und Insider findet man immer auf meinem Telegram-Kanal „».
Quelle: habr.com
