डॉक्टर अपने रास्ते पर है, अपने रास्ते पर है

एक MongoDB डेटाबेस जिसे प्रमाणीकरण की आवश्यकता नहीं थी, सार्वजनिक डोमेन में खोजा गया था, जिसमें मॉस्को आपातकालीन चिकित्सा स्टेशनों (ईएमएस) की जानकारी शामिल थी।

दुर्भाग्य से, यह एकमात्र समस्या नहीं है: सबसे पहले, इस बार डेटा वास्तव में लीक हो गया था, और दूसरी बात, सभी संवेदनशील जानकारी जर्मनी में स्थित एक सर्वर पर संग्रहीत की गई थी (मैं पूछना चाहता हूं कि क्या यह किसी कानून या विभागीय निर्देशों का उल्लंघन करता है?).

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

डेटाबेस वाला एक सर्वर जिसे "एस.एस.एम.पी", जर्मनी में प्रसिद्ध होस्टिंग प्रदाता हेट्ज़नर की साइट पर स्थित है।

अप्रत्यक्ष साक्ष्य के आधार पर, सर्वर और डेटाबेस के कथित मालिक - एक रूसी कंपनी - की पहचान करना संभव था एलएलसी "कंप्यूटर इंटेलिजेंट सिस्टम्स".

पेज ci-systems.com/solutions/programs-smp/ पर, कंपनी हमें बताती है:

ईएमएस सीआईएस एक सॉफ्टवेयर उत्पाद है जिसे रूसी संघ की एक घटक इकाई की सीमाओं के भीतर आपातकालीन (विशेष) चिकित्सा देखभाल (ईएमएस) स्टेशनों के संचालन को स्वचालित करने के लिए डिज़ाइन किया गया है और यह प्रदान करता है:

• कॉल प्राप्त करना;
• कॉल पंजीकरण और पुनर्निर्देशन;
• ईएमएस स्टेशनों की मोबाइल टीमों का गठन, निगरानी और प्रबंधन;
• आपातकालीन प्रतिक्रिया के दौरान आपातकालीन चिकित्सा सेवा टीमों की बड़े पैमाने पर पुनर्नियुक्ति;
• एकल ईएमएस कॉल प्रोसेसिंग सेंटर का संचालन;
• बाहरी सूचना प्रणालियों के साथ डेटा का आदान-प्रदान।

डेटाबेस का आकार 17.3 जीबी था और इसमें शामिल थे:

• आपातकालीन कॉल की तारीख/समय
• एम्बुलेंस चालक दल के सदस्यों का पूरा नाम (चालक सहित)
• एम्बुलेंस का लाइसेंस प्लेट नंबर
• एम्बुलेंस वाहन की स्थिति (उदाहरण के लिए, "कॉल पर पहुंचना")
• कॉल पता
• रोगी का पूरा नाम, जन्मतिथि, लिंग
• रोगी की स्थिति का विवरण (उदाहरण के लिए, "तापमान>39, खराब रूप से घट रहा है, वयस्क")
• उस व्यक्ति का पूरा नाम जिसने एम्बुलेंस को कॉल किया था
• संपर्क संख्या
• और मुझे लगता है ...

डेटाबेस में डेटा किसी कार्य को पूरा करने की प्रक्रिया के लिए किसी प्रकार की निगरानी/ट्रैकिंग प्रणाली के लॉग के समान है। रुचि का क्षेत्र है "तिथि" मेज पर "असाइन_डेटा_इतिहास'.

(बेशक, ऊपर की तस्वीर में मैंने सभी व्यक्तिगत डेटा को छिपाने की कोशिश की है।)

जैसा कि शुरुआत में ही लिखा गया था, प्रमाणीकरण की कमी इस बार एकमात्र समस्या नहीं है।

सबसे खास बात ये है कि इस डेटाबेस को सबसे पहले ग्रुप के यूक्रेनी हैकर्स ने खोजा था THack3forU, जो पाए गए MongoDB में अलग-अलग संदेश छोड़ते हैं और जानकारी को नष्ट कर देते हैं। इस बार लड़कों ने अपनी अलग पहचान बनाई:

“THack3forU द्वारा हैक किया गया! चैनल.एन.पुतिन एक मूर्ख है,एनमेदवेदेवा एक दुष्ट है,एनस्ट्रेलकोव एक हरामी है,एनरूस सबसे नीचे है!”

और निश्चित रूप से तथ्य यह है कि, सभी 17 जीबी डाउनलोड करने के बाद, उन्होंने उन्हें फ़ाइल होस्टिंग पर सीएसवी प्रारूप में पोस्ट किया Mega.nz. खुले MongoDB डेटाबेस का पता कैसे लगाया जाता है इसके बारे में - यहां.

जैसे ही डेटाबेस के मालिक की पहचान की गई, मैंने उसे डेटाबेस तक पहुंच अभी भी बंद करने के प्रस्ताव के साथ एक अधिसूचना भेजी, हालांकि तब तक बहुत देर हो चुकी थी - डेटा "चला गया" था।

पहली बार खोज इंजन Shodan इस डेटाबेस को 28.06.2018/08.04.2019/17 को रिकॉर्ड किया गया था, और इस तक पहुंच अंततः 20/18/05 को, 6:XNUMX और XNUMX:XNUMX (मास्को समय) के बीच बंद कर दी गई थी। अधिसूचना जारी हुए XNUMX घंटे से कुछ कम समय बीत चुका है.

सूचना लीक और अंदरूनी सूत्रों के बारे में समाचार हमेशा मेरे टेलीग्राम चैनल पर पाए जा सकते हैं।सूचना लीक'.

स्रोत: www.habr.com