Kõik teie tarbimislaenud ja isikuandmed „ühes kohas“…

Jätkame Venemaa andmebaaside lekkeid, mille omanikud on jätnud avatuks.

Seekord leiti MongoDB andmebaas, millele ei olnud autentimist nõutud, ja kus olid isikuandmed ja laenusaajate fotod Lõuna-, Ural- ja Volga föderaalsest ringkonnast koos nende laenutaotlustega.

Dosklaimer: kogu allolev teave avaldatakse ainult hariduslikel eesmärkidel. Autor ei ole saanud juurdepääsu kolmandate isikute ja ettevõtete isikuandmetele. Ekraanipildid on saadud kas avalikest allikatest või on need autorile jagatud heatahtlike inimeste poolt.

Andmebaas, mille suurus on umbes 158 GB, sisaldas 74 kogumit (collections) ja vastavalt BinaryEdge'i otsingumootori andmetele (kuidas avatud andmeid tuvastatakse, olen kirjutanud eraldi artikli), oli vähemalt 11 päeva vabalt juurdepääsetav. Kaudsete märkide põhjal tehti oletus võimaliku andmebaasi omaniku kohta: kõik (5042) kasutajat kogumisest

olid e-posti aadressid domeenidel users @poslogic.pro ja @ finservice.proja lisaks oli andmebaasi IP-aadress ainult 1 võrra erinev veebisaidi IP-aadressist www.finservice.pro Finservice Company on tegutsenud alates 2012. aastast ning on Venemaa turul juhtiv sõltumatu rahandusbrokker POS-laenude valdkonnas. Praegu kuulub Finservice suurde mitmeotstarbelisse kontserni, mis koosneb üle 200 töötajast ja viib aktiivset laienemist läbi kõikidesse Venemaa piirkondadesse..

Meie veebisaidil Finservice Company on tegutsenud alates 2012. aastast ning on Venemaa turul juhtiv sõltumatu rahandusbrokker POS-laenude valdkonnas. Praegu kuulub Finservice suurde mitmeotstarbelisse kontserni, mis koosneb üle 200 töötajast ja viib aktiivset laienemist läbi kõikidesse Venemaa piirkondadesse. kirjutatud:

Me oleme POS-krediidituru juhtiva platvormi — Poslogic — arendajad ja omanikud. Platvorm on integreeritud kõigi selles segmendis juhtivate pankadega ning võimaldab optimeerida tarbimislaenude väljastamisega seotud protsesse, suurendada kaubandusettevõtete käivet ja rahuldada kõik klientide nõudmised.
Otsisin, mis on POS-laenamine (teave aadressilt

www.banki.ru POS-laenamine (POS — Point Of Sale) on pankade jaemüügi ärivaldkond, mis hõlmab laenude andmist kindlatele kaupadele otse müügikohtades. Seda äri peetakse kõrge kasumlikkusega, kuid samas ka kõrge riskiga. Reeglina eristavad selliseid laene kõrged intressimäärad — üle 30% — kuid samas kiiresti langetatud otsuseid (kuni tunni jooksul).):

POS-laenud (POS — Point Of Sale) on panganduse jaekaubanduse suund, mis hõlmab laenude andmist teatud kaupadele otse jaemüügikohtades. See äritegevus on kõrge kasumlikkuse tõttu tuntud, kuid samas ka kõrge riskiga. Reeglina iseloomustavad selliseid laene kõrged intressimäärad — üle 30%, kuid samal ajal toimub otsuse langetamine kiiresti (kuni tunni jooksul).

Minu e-kirjadele, Facebook Messengeri kaudu saadetutele ja Facebooki avalikule postitusele ei reageerinud ettevõte. Postkast info@finservice.pro, mis on veebilehel märgitud, ei tööta üldse ning sotsiaalmeedias on kõik mahajäetud. Tuli otsida veebilehelt töötajate e-kirju ja kirjutada sinna. Loomulikult ei saanud ma mingit vastust...

Kuid 21. märtsil kell umbes 17.00 (Moskva aja järgi) kadus andmebaas vabast ligipääsust. Eraldi tahan märkida, et vaatluse ajal andmebaas pidevalt uuendati ja täiendati uute kirjadega. Näiteks ühe päeva jooksul ilmus sinna üle 50 uut laenutaotlust.

Andmebaasis oli:

• Üle 294 tuhat laenuvõtjat: nimi, sünnikoht, sünnikuupäev, laste arv, ülalpeetavate arv, ema neiupõlvenimi, kas on abielus või mitte, haridus, mobiiltelefoni number, statsionaari telefoninumber, e-posti aadress, registreerimise aadress, tegeliku elukoha aadress, täielikud passiandmed.

Kõik laenuvõtjad olid Lõuna-, Ural- ja Volga föderaalringkondadest (elukoha aadressid).

• Üle 183 tuhat laenuandmete: laenu suurus, laenu staatus, väljastamise kuupäev, panga identifikaator, laenuvõtja identifikaator, laenumaksete graafik jne.

• Üle 819 tuhat skaneeritud dokumenti: dokumendi tüüp, faili nimi, JPG-faili link, staatus, kuupäev jne.

  { 
  "_id" : ObjectId("5c925eb52fc14e00019d1907"), 
  "_type" : "QuestionaryDocumentScan", 
  "doctype" : "pd_agreement", 
  "title" : "Isikuandmete töötlemise kokkulepe", 
  "filename" : "1.jpg", 
  "status" : NumberInt(0), 
  "status_text" : "Laaditud", 
  "questionary_id" : ObjectId("5c925c8a4624cb000141cfb5"), 
  "sent" : false, 
  "required_resend" : false, 
  "scan" : "5c925eb52fc14e00019d1907.jpg", 
  "updated_at" : ISODate("2019-03-20T15:39:33.591+0000"), 
  "created_at" : ISODate("2019-03-20T15:39:33.591+0000")
  }

• Üle 246 tuhat laenu taotlemise fotosid, mis on tehtud veebikaameratega müügikohtades, JPG-formaadis.

(näod moonutatud artikli jaoks)

• Üle 5 tuhat süsteemi sisemist kasutajat: nimi, sünnikuupäev, sisselogimise nimi ja krüpteeritud parool, mobiiltelefon, e-posti aadressid domeenidel ja @ ja @finservice.pro.

• Üle 2,5 tuhat partnerit (ilmselt müügikohad, kus laene taotleti): nimi, pangakontod, füüsiline aadress, juriidiline aadress, kontaktid jne.

• Üle 1 tuhande krediiditootega: nimi, panga identifikaator, teenustasu suurus jne.

• Üks väga väike (862) "must nimekiri" laenuvõtjatest.

• ja väga palju teavet, mis sisaldab isikuandmeid.

Infot andmelekkete ja siseinfo kohta saab alati leida minu Telegrami kanalist „Andmelekked».

Allikas: habr.com