Rappelez-vous, j'ai et sur mon , comment des détails sur les paiements en faveur de la GIBDD et de la FSSP des utilisateurs de sites sont devenus accessibles au public. oplatagibdд.рф, paygibdd.ru, gos-oplata.ru, amendes.net et oplata-fssp.ru?
Mais ne riez pas, ce n'est pas une blague — le même serveur avec les données du même système s'est à nouveau retrouvé ouvert au monde entier.
Alors, c'est parti pour en discuter…
Avertissement : toutes les informations ci-dessous sont publiées uniquement à des fins éducatives. L'auteur n'a pas eu accès aux données personnelles de tiers et d'entreprises. Les informations sont tirées de sources ouvertes ou ont été fournies à l'auteur par des donateurs anonymes.Pour commencer, rappelons un peu la chronologie des événements :
- 12.04.2019 (la nuit) un serveur Elasticsearch a été découvert, n'exigeant pas d'authentification pour se connecter.
- 13.04.2019 (le matin) un avis a été envoyé aux propriétaires du serveur.
- 13.04.2019 (l'après-midi) le serveur a été "silencieusement" retiré de l'accès public.
Au moment de la première fermeture du serveur, les index Elasticsearch ressemblaient à ceci :
Et voici qu'à nouveau, le 21.05.2019 vers 16h00 (MSK), le même serveur Elasticsearch, avec les mêmes (plus de nouveaux) index, se retrouve à nouveau accessible au public :
Je n’en croyais pas mes yeux lorsque j’ai vu (juste après une présentation sur PHDays sur la détection des bases de données ouvertes) dans ma boîte mail une notification de notre . Pour être honnête, la première pensée était que c'était un bug du système.
Cependant, non, ce n'était pas un bug et après avoir tout vérifié manuellement, à 01h25 le 22.05.2019, j'ai de nouveau envoyé une notification aux mêmes adresses que la première fois.
Depuis la première fermeture, ce serveur a été scanné par Shodan 11 fois et jusqu'au 21 mai, Elasticsearch a été masqué.
Ce n'est que le 24.05.2019 au matin que cet Elasticsearch a disparu de l'accès public une deuxième fois. Pendant ce temps, les index avaient considérablement augmenté :
Et si l'on considère les données (seules les informations significatives contenant des données personnelles des citoyens) dans les index pour la période du 1er au 22 mai, voici ce que l'on obtient :
- 127,525 enregistrements dans l'index paygibdd
- 49,627 enregistrements dans l'index shtrafov-net
- 162,282 enregistrements dans l'index oplata-fssp
- 220,201 enregistrements dans l'index gosoplata
Exemple de données de l'index gosoplata:
Exemple de données de l'index paygibdd:
Eh bien, la cerise sur le gâteau a été un e-mail d'une des adresses à lesquelles j'avais envoyé des notifications :
Nous avons reçu votre message concernant l'ElasticSearch ouvert — merci pour l'information, la base de données a été fermée. L'administrateur système ayant rouvert l'accès a été licencié. Le service juridique prépare une déclaration à adresser au ministère de l'Intérieur de la République du Tatarstan concernant les actions de l'administrateur système, en vertu des articles 272 et 273 du Code pénal de la Fédération de Russie.
Vous pouvez toujours trouver des nouvelles sur les fuites d'informations et les insiders sur ma chaîne Telegram «»: .
Source : habr.com
