Alle Ihre Verbraucherkredite und persönlichen Daten "an einem Ort"…

Wir setzen den Marathon der Leaks aus russischen Datenbanken fort, die von ihren Eigentümern öffentlich zugänglich gemacht wurden.

Diesmal wurde eine MongoDB-Datenbank entdeckt, die keine Authentifizierung erfordert und persönliche Daten und Fotos von Kreditnehmern aus den Südrussischen, Uralischen und Wolga-Föderationskreisen sowie deren Kreditanträge enthält.

Haftungsausschluss: Alle Informationen unten werden ausschließlich zu Bildungszwecken veröffentlicht. Der Autor hatte keinen Zugriff auf persönliche Daten Dritter und Unternehmen. Die Screenshots stammen entweder aus öffentlichen Quellen oder wurden dem Autor von wohlwollenden Personen zur Verfügung gestellt.

Die Datenbank, die etwa 158 GB groß war, enthielt 74 Sammlungen und laut den Angaben der Suchmaschine BinaryEdge (über die wie offene Datenbanken veröffentlicht werden Elasticsearch und MongoDB, habe ich einen eigenen Artikel geschrieben), war mindestens 11 Tage lang öffentlich zugänglich.

Durch indirekte Hinweise wurde eine Vermutung über den möglichen Eigentümer der Datenbank aufgestellt: Alle (5042) Benutzer aus der Sammlung users hatten E-Mail-Adressen auf den Domains @poslogic.pro und @finservice.pro und zudem unterschied sich die IP-Adresse der Datenbank nur um 1 von der IP-Adresse der Website www.finservice.pro.

Auf der Website www.finservice.pro geschrieben:

Das Unternehmen Finservice ist seit 2012 tätig und gilt als führender unabhängiger Finanzmakler im Bereich POS-Kreditvergabe auf dem russischen Markt. Derzeit ist Finservice Teil eines großen, diversifizierten Unternehmens, hat über 200 Mitarbeiter und expandiert aktiv in alle Regionen Russlands.
Wir sind der Entwickler und Rechteinhaber der führenden Plattform für POS-Kreditvergabe auf dem Markt – Poslogic. Die Plattform ist mit allen führenden Banken in diesem Segment integriert und ermöglicht es, die Prozesse der Verbraucherkreditvergabe zu optimieren, den Umsatz der Handelsorganisationen zu steigern und alle Kundenanfragen zu erfüllen.

Ich habe gegoogelt, was POS-Kreditvergabe bedeutet (Informationen von www.banki.ru):

POS-Kreditvergabe (POS – Point Of Sale) ist ein Bereich des Einzelhandelsgeschäfts der Banken, der die Kreditvergabe für bestimmte Waren direkt an den Verkaufsstellen vorsieht. Dieses Geschäft gilt als hochprofitabel, ist jedoch auch mit hohen Risiken verbunden. In der Regel zeichnen sich solche Kredite durch hohe Zinssätze – über 30 % – aus, bieten jedoch gleichzeitig eine schnelle Entscheidungsfindung (innerhalb einer Stunde).

Auf meine E-Mails, über Facebook Messenger und über einen öffentlichen Beitrag auf Facebook hat das Unternehmen nicht reagiert. E-Mail info@finservice.pro, die auf der Website angegeben ist, funktioniert überhaupt nicht, in sozialen Netzwerken gibt es eine Leere. Ich musste auf der Website die E-Mail-Adresse von Mitarbeitern suchen und an diese schreiben. Eine Antwort blieb natürlich aus…

Am 21. März gegen 17 Uhr (Moskauer Zeit) verschwand die Datenbank aus dem freien Zugang. Ich möchte besonders hervorheben, dass die Datenbank während der Beobachtung ständig aktualisiert und mit neuen Einträgen ergänzt wurde. Beispielsweise sind innerhalb eines Tages über 50 neue Kreditanträge hinzugekommen.

In der Datenbank waren enthalten:

• Über 294.000 Kreditnehmer: Name, Geburtsort, Geburtsdatum, Anzahl der Kinder, Anzahl der Unterhaltspflichtigen, Geburtsname der Mutter, Verheiratet oder nicht, Bildung, Mobiltelefonnummer, Festnetznummer, E-Mail-Adresse, registrierte Adresse, Adresse des tatsächlichen Wohnsitzes, vollständige Passdaten.

Alle Kreditnehmer stammen aus den Süd-, Ural- und Wolga-Federal-Bezirken (Wohnadressen).

• Über 183.000 Datensätze über Kredite: Kreditbetrag, Kreditstatus, Ausgabedatum, Bank-ID, Kreditnehmer-ID, Tilgungsplan und mehr.

• Über 819.000 gescannte Dokumente: Dokumenttyp, Dateiname, Link zur JPG-Datei, Status, Datum und mehr.

  { 
  "_id" : ObjectId("5c925eb52fc14e00019d1907"), 
  "_type" : "QuestionaryDocumentScan", 
  "doctype" : "pd_agreement", 
  "title" : "Vereinbarung zur Verarbeitung personenbezogener Daten", 
  "filename" : "1.jpg", 
  "status" : NumberInt(0), 
  "status_text" : "Hochgeladen", 
  "questionary_id" : ObjectId("5c925c8a4624cb000141cfb5"), 
  "sent" : false, 
  "required_resend" : false, 
  "scan" : "5c925eb52fc14e00019d1907.jpg", 
  "updated_at" : ISODate("2019-03-20T15:39:33.591+0000"), 
  "created_at" : ISODate("2019-03-20T15:39:33.591+0000")
  }

• Über 246.000 Fotos von Personen, die Kreditanträge gestellt haben, aufgenommen mit Webcams an Verkaufsstellen, im JPG-Format.

(Gesichter wurden für den Artikel verzerrt)

• Über 5.000 interne Benutzer des Systems: Name, Geburtsdatum, Login und gehashtes Passwort, Mobiltelefon, E-Mail-Adressen auf Domainen @poslogic.pro und @finservice.pro.

• Über 2.500 Partner (vermutlich Verkaufsstellen von Waren, für die Kredite aufgenommen wurden): Name, Bankverbindung, tatsächliche Adresse, rechtliche Adresse, Kontakte und mehr.

• Über 1.000 Kreditprodukte: Name, Bank-ID, Höhe der Gebühr und mehr.

• Eine sehr kleine (862) "schwarze Liste" von Kreditnehmern.

• und viele weitere Informationen, die persönliche Daten enthalten.

Nachrichten über Datenlecks und Insider findet man immer auf meinem Telegram-Kanal „Datenlecks».

Quelle: habr.com