जनवरी-अप्रैल 2019 के लिए उपयोगकर्ता डेटा का सनसनीखेज लीक

2018 में दुनिया भर में गोपनीय जानकारी लीक होने के 2263 सार्वजनिक मामले दर्ज किए गए। 86% घटनाओं में व्यक्तिगत डेटा और भुगतान जानकारी से समझौता किया गया - यानी लगभग 7,3 बिलियन उपयोगकर्ता डेटा रिकॉर्ड। जापानी क्रिप्टो एक्सचेंज कॉइनचेक को अपने ग्राहकों के ऑनलाइन वॉलेट के समझौते के परिणामस्वरूप $534 मिलियन का नुकसान हुआ। यह रिपोर्ट की गई क्षति की सबसे बड़ी मात्रा थी।

यह अभी भी अज्ञात है कि 2019 के आंकड़े क्या होंगे। लेकिन पहले से ही बहुत सारे सनसनीखेज "लीक" हो चुके हैं, और यह दुखद है। हमने वर्ष की शुरुआत के बाद से सबसे अधिक चर्चित लीक की समीक्षा करने का निर्णय लिया। "और भी होंगे," जैसा कि वे कहते हैं।

18 जनवरी: संग्रह आधार

18 जनवरी को, सार्वजनिक डोमेन में पाए गए एक डेटाबेस के बारे में मीडिया रिपोर्टें सामने आने लगीं 773 लाख पासवर्ड वाले मेलबॉक्स (रूस के उपयोगकर्ताओं सहित)। यह डेटाबेस कई वर्षों में जमा हुए लगभग दो हजार विभिन्न साइटों के लीक हुए डेटाबेस का एक संग्रह था। जिसके लिए इसे संग्रह #1 नाम मिला। आकार के संदर्भ में, यह इतिहास में हैक किए गए पतों का दूसरा सबसे बड़ा डेटाबेस निकला (पहला 1 अरब याहू! उपयोगकर्ताओं का संग्रह था, जो 2013 में सामने आया था)।

यह जल्द ही स्पष्ट हो गया कि संग्रह #1 डेटा सरणी का केवल एक हिस्सा था जो हैकर्स के हाथों में पहुंच गया। सूचना सुरक्षा विशेषज्ञों को 2 से 5 नंबर वाले अन्य "संग्रह" भी मिले, और उनकी कुल मात्रा 845 जीबी थी। डेटाबेस में लगभग सभी जानकारी अद्यतित है, हालाँकि कुछ लॉगिन और पासवर्ड पुराने हैं।

साइबर सुरक्षा विशेषज्ञ ब्रायन क्रेब्स ने उस हैकर से संपर्क किया जो अभिलेखागार बेच रहा था और पता चला कि संग्रह #1 पहले से ही लगभग दो या तीन साल पुराना था। हैकर के अनुसार, उसके पास बिक्री के लिए चार टेराबाइट्स से अधिक की मात्रा वाले नवीनतम डेटाबेस भी हैं।

11 फरवरी: 16 प्रमुख साइटों से उपयोगकर्ता डेटा का लीक

द रजिस्टर का 11 फरवरी संस्करण सूचनाड्रीम मार्केट ट्रेडिंग प्लेटफॉर्म प्रमुख इंटरनेट सेवाओं के 620 मिलियन उपयोगकर्ताओं का डेटा बेचता है:

• डबस्मैश (162 मिलियन)
• MyFitnessPal (151 मिलियन)
• माईहेरिटेज (92 मिलियन)
• इसे साझा करें (41 मिलियन)
• हाउटलुक (28 मिलियन)
• एनिमोटो (25 मिलियन)
• आईईईएम (22 मिलियन)
• 8फिट (20 मिलियन)
• व्हाइटपेज (18 मिलियन)
• फोटोलॉग (16 मिलियन)
• 500px (15 मिलियन)
• आर्मर गेम्स (11 मिलियन)
• बुकमेट (8 मिलियन)
• कॉफ़ीमीट्सबैगल (6 मिलियन)
• कलात्मक (1 मिलियन)
• डेटाकैंप (700)

हमलावरों ने पूरे डेटाबेस के लिए लगभग 20 हजार डॉलर मांगे; वे प्रत्येक साइट का डेटा संग्रह अलग से भी खरीद सकते थे।

सभी साइटें अलग-अलग समय पर हैक की गईं। उदाहरण के लिए, फोटो पोर्टल 500px ने बताया कि रिसाव 5 जुलाई, 2018 को हुआ था, लेकिन यह डेटा के साथ एक संग्रह की उपस्थिति के बाद ही ज्ञात हुआ।

डेटाबेस शामिल ईमेल पते, उपयोगकर्ता नाम और पासवर्ड। हालाँकि, एक सुखद तथ्य यह है: पासवर्ड ज्यादातर किसी न किसी तरह से एन्क्रिप्टेड होते हैं। यानी इनका इस्तेमाल करने के लिए आपको सबसे पहले डेटा को डिक्रिप्ट करने के बारे में दिमाग लगाना होगा। हालाँकि, यदि पासवर्ड सरल है, तो इसका अनुमान लगाना काफी संभव है।

25 फरवरी: MongoDB डेटाबेस उजागर हुआ

25 फरवरी, सूचना सुरक्षा विशेषज्ञ बॉब डायचेन्को मैंने पाया ऑनलाइन, एक असुरक्षित 150GB MongoDB डेटाबेस जिसमें 800 मिलियन से अधिक व्यक्तिगत डेटा रिकॉर्ड हैं। संग्रह में ईमेल पते, अंतिम नाम, लिंग और जन्मतिथि के बारे में जानकारी, टेलीफोन नंबर, डाक कोड और पते और आईपी पते शामिल थे।

समस्याग्रस्त डेटाबेस वेरिफिकेशन्स आईओ एलएलसी का था, जो ईमेल मार्केटिंग में लगा हुआ था। इसकी एक सेवा कॉर्पोरेट ईमेल की जाँच करना थी। जैसे ही समस्याग्रस्त डेटाबेस के बारे में जानकारी मीडिया में आई, कंपनी की वेबसाइट और डेटाबेस स्वयं अप्राप्य हो गए। बाद में, वेरिफिकेशन्स आईओ एलएलसी के प्रतिनिधियों ने कहा कि डेटाबेस में कंपनी के ग्राहकों का डेटा शामिल नहीं है और इसे खुले स्रोतों से भरा गया है।

10 मार्च: FQuiz और Supertest ऐप्स के जरिए फेसबुक यूजर का डेटा लीक हुआ

द वर्ज का 10 मार्च संस्करण एक संदेश पोस्ट किया फेसबुक ने दो यूक्रेनी डेवलपर्स, ग्लीब स्लुचेव्स्की और आंद्रेई गोर्बाचेव के खिलाफ मुकदमा दायर किया। उन पर यूजर्स के निजी डेटा की चोरी का आरोप लगाया गया था।

डेवलपर्स ने परीक्षण आयोजित करने के लिए एप्लिकेशन बनाए। इन प्रोग्रामों ने ब्राउज़र एक्सटेंशन इंस्टॉल किए जो उपयोगकर्ता डेटा एकत्र करते थे। 2017-2018 के दौरान FQuiz और Supertest समेत चार एप्लिकेशन लगभग 63 हजार यूजर्स का डेटा चुराने में सफल रहे. अधिकतर रूस और यूक्रेन के उपयोगकर्ता प्रभावित हुए।

21 मार्च: करोड़ों फेसबुक पासवर्ड अनएन्क्रिप्टेड

21 मार्च को पत्रकार ब्रायन क्रेब्स ने रिपोर्ट दी अपने ब्लॉग मेंफेसबुक लंबे समय से लाखों पासवर्ड अनएन्क्रिप्टेड स्टोर कर रहा था। कंपनी के लगभग 20 कर्मचारी 200 से 600 मिलियन फेसबुक उपयोगकर्ताओं के पासवर्ड देख सकते थे क्योंकि वे सादे पाठ प्रारूप में संग्रहीत थे। इस असुरक्षित डेटाबेस में कुछ इंस्टाग्राम पासवर्ड भी शामिल थे। जल्द ही सोशल नेटवर्क खुद ही आधिकारिक तौर पर लॉन्च हो जाएगा इस बात की पुष्टि जानकारी।

फेसबुक के इंजीनियरिंग, सुरक्षा और गोपनीयता के उपाध्यक्ष पेड्रो कैनाहुती ने कहा कि अनएन्क्रिप्टेड पासवर्ड संग्रहीत करने की समस्या को ठीक कर दिया गया है। और सामान्य तौर पर, फेसबुक लॉगिन सिस्टम को पासवर्ड को अपठनीय बनाने के लिए डिज़ाइन किया गया है। कंपनी को इस बात का कोई सबूत नहीं मिला कि अनएन्क्रिप्टेड पासवर्ड को अनुचित तरीके से एक्सेस किया गया था।

21 मार्च: टोयोटा ग्राहक डेटा लीक

मार्च के अंत में, जापानी वाहन निर्माता टोयोटा कहा हैकर्स कंपनी के 3,1 मिलियन ग्राहकों का निजी डेटा चुराने में कामयाब रहे। टोयोटा के व्यापारिक प्रभागों और पांच सहायक कंपनियों के सिस्टम 21 मार्च को हैक कर लिए गए थे।

कंपनी ने यह खुलासा नहीं किया कि ग्राहकों का कौन सा निजी डेटा चोरी हुआ है। हालाँकि, उसने कहा कि हमलावरों को बैंक कार्ड के बारे में जानकारी तक पहुँच नहीं मिली।

21 मार्च: ईआईएस वेबसाइट पर लिपेत्स्क क्षेत्र के मरीजों के डेटा का प्रकाशन

21 मार्च को जन आंदोलन "रोगी नियंत्रण" के कार्यकर्ता сообщили कि लिपेत्स्क क्षेत्र के स्वास्थ्य विभाग द्वारा ईआईएस वेबसाइट पर प्रकाशित जानकारी में मरीजों का व्यक्तिगत डेटा प्रदान किया गया था।

आपातकालीन चिकित्सा सेवाओं के प्रावधान के लिए सरकारी खरीद वेबसाइट पर कई नीलामियाँ पोस्ट की गईं: रोगियों को क्षेत्र के बाहर अन्य संस्थानों में स्थानांतरित करना पड़ा। विवरण में मरीज का अंतिम नाम, घर का पता, निदान, आईसीडी कोड, प्रोफ़ाइल इत्यादि के बारे में जानकारी शामिल थी। अविश्वसनीय रूप से, केवल पिछले वर्ष (!) में रोगी डेटा को कम से कम आठ बार प्रकाशित किया गया है।

लिपेत्स्क क्षेत्र के स्वास्थ्य विभाग के प्रमुख यूरी शूरशुकोव ने कहा कि एक आंतरिक जांच शुरू की गई है और उन मरीजों से माफी मांगी जाएगी जिनका डेटा प्रकाशित किया गया था। लिपेत्स्क क्षेत्र के अभियोजक कार्यालय ने भी घटना की जाँच शुरू कर दी।

04 अप्रैल: 540 मिलियन फेसबुक यूजर्स का डेटा लीक

सूचना सुरक्षा कंपनी अपगार्ड सूचना 540 मिलियन से अधिक फेसबुक उपयोगकर्ताओं का डेटा सार्वजनिक रूप से उपलब्ध होने के बारे में।

मैक्सिकन डिजिटल प्लेटफॉर्म कल्टुरा कोलेक्टिवा पर सोशल नेटवर्क सदस्यों की टिप्पणियां, लाइक और अकाउंट नाम वाले पोस्ट पाए गए। और अब बंद हो चुके एट द पूल ऐप में नाम, पासवर्ड, ईमेल पते और अन्य डेटा उपलब्ध थे।

10 अप्रैल: मॉस्को क्षेत्र के एम्बुलेंस रोगियों का डेटा ऑनलाइन लीक हो गया

संभवतः मॉस्को क्षेत्र में आपातकालीन चिकित्सा सहायता स्टेशनों (ईएमएस) पर डेटा लीक हुआ था. कानून प्रवर्तन एजेंसियों ने घटना की रिपोर्टों की पूर्व-जांच जांच शुरू कर दी।

फ़ाइल होस्टिंग सेवाओं में से एक पर मॉस्को क्षेत्र में एम्बुलेंस कॉल के बारे में जानकारी वाली 17,8 जीबी फ़ाइल की खोज की गई थी। दस्तावेज़ में एम्बुलेंस को कॉल करने वाले व्यक्ति का नाम, संपर्क फ़ोन नंबर, पता जहां टीम को बुलाया गया था, कॉल की तारीख और समय, यहां तक ​​कि मरीज की स्थिति भी शामिल थी। मायतिश्ची, दिमित्रोव, डोलगोप्रुडनी, कोरोलेव और बालाशिखा के निवासियों के डेटा से समझौता किया गया। यह माना जाता है कि आधार एक यूक्रेनी हैकर समूह के कार्यकर्ताओं द्वारा बनाया गया था।

12 अप्रैल: सेंट्रल बैंक ब्लैकलिस्ट
मनी लॉन्ड्रिंग रोधी कानून के तहत सेंट्रल बैंक की रिफ्यूजनिक की ब्लैकलिस्ट से बैंक ग्राहकों का डेटा इंटरनेट पर पाए गए 12 अप्रैल. हम लगभग 120 हजार ग्राहकों की जानकारी के बारे में बात कर रहे थे जिन्हें मनी लॉन्ड्रिंग और आतंकवाद के वित्तपोषण (115-एफजेड) से निपटने के कानून के अनुसार सेवा से वंचित कर दिया गया था।

अधिकांश डेटाबेस में व्यक्ति और व्यक्तिगत उद्यमी शामिल हैं, बाकी कानूनी संस्थाएं हैं। व्यक्तियों के लिए, डेटाबेस में उनका पूरा नाम, जन्म तिथि, श्रृंखला और पासपोर्ट नंबर के बारे में जानकारी होती है। व्यक्तिगत उद्यमियों के बारे में - पूरा नाम और INN, कंपनियों के बारे में - नाम, INN, OGRN। बैंकों में से एक ने अनौपचारिक रूप से पत्रकारों के सामने स्वीकार किया कि सूची में वास्तविक अस्वीकृत ग्राहक शामिल हैं। डेटाबेस में 26 जून, 2017 से 6 दिसंबर, 2017 तक "रिफ्यूसेनिक" शामिल हैं।

15 अप्रैल: हजारों अमेरिकी पुलिस और एफबीआई कर्मचारियों का व्यक्तिगत डेटा प्रकाशित

एक साइबर अपराधी समूह अमेरिकी संघीय जांच ब्यूरो से जुड़ी कई वेबसाइटों को हैक करने में कामयाब रहा। और उसने हजारों पुलिस अधिकारियों और संघीय एजेंटों की व्यक्तिगत जानकारी वाली दर्जनों फ़ाइलें इंटरनेट पर पोस्ट कीं।
 
सार्वजनिक रूप से उपलब्ध कारनामों का उपयोग करके, हमलावर क्वांटिको (वर्जीनिया) में एफबीआई अकादमी से जुड़े एक संघ के नेटवर्क संसाधनों तक पहुंच हासिल करने में कामयाब रहे। इसके बारे में मैंने लिखा टेकक्रंच।
चुराए गए संग्रह में अमेरिकी कानून प्रवर्तन और संघीय अधिकारियों के नाम, उनके पते, फोन नंबर, उनके ईमेल और पदों के बारे में जानकारी शामिल थी। कुल मिलाकर लगभग 4000 विभिन्न प्रविष्टियाँ हैं।

25 अप्रैल: डॉकर हब उपयोगकर्ता डेटा लीक

साइबर अपराधियों ने दुनिया की सबसे बड़ी कंटेनर इमेज लाइब्रेरी, डॉकर हब के डेटाबेस तक पहुंच प्राप्त कर ली, जिसके परिणामस्वरूप लगभग 190 हजार उपयोगकर्ताओं के डेटा से समझौता किया गया। डेटाबेस में स्वचालित डॉकर बिल्ड के लिए उपयोग किए जाने वाले GitHub और Bitbucket रिपॉजिटरी के लिए उपयोगकर्ता नाम, पासवर्ड हैश और टोकन शामिल थे।

डॉकर हब प्रशासन उन्होंने बताया शुक्रवार, 26 अप्रैल की देर रात की घटना के बारे में उपयोगकर्ता। आधिकारिक जानकारी के अनुसार, डेटाबेस तक अनधिकृत पहुंच 25 अप्रैल को ज्ञात हुई। घटना की जांच अभी तक पूरी नहीं हुई है.

आप Doc+ की कहानी भी याद कर सकते हैं, जो बहुत पहले की बात नहीं है प्रकाशित हेबे पर, अप्रिय स्थिति यातायात पुलिस और एफएसएसपी को नागरिकों के भुगतान और उनके द्वारा वर्णित अन्य लीक के साथ ashotog.

एक निष्कर्ष के रूप में

सरकारी एजेंसियों, सोशल नेटवर्क और बड़ी वेबसाइटों पर संग्रहीत डेटा की असुरक्षा, साथ ही चोरी का पैमाना, भयावह है। यह भी दुखद है कि लीक आम बात हो गई है. कई लोगों को जिनके निजी डेटा से छेड़छाड़ की गई है, उन्हें इसके बारे में पता भी नहीं है. और अगर उन्हें पता है, तो वे अपनी सुरक्षा के लिए कुछ नहीं करेंगे।

स्रोत: www.habr.com