आपके सभी उपभोक्ता ऋण और व्यक्तिगत डेटा "एक ही स्थान पर"...

हम उनके मालिकों द्वारा सार्वजनिक डोमेन में छोड़े गए रूसी डेटाबेस से लीक की मैराथन जारी रखते हैं।

इस बार, एक MongoDB डेटाबेस की खोज की गई जिसे प्रमाणीकरण की आवश्यकता नहीं थी, जिसमें दक्षिणी, यूराल और वोल्गा संघीय जिलों के उधारकर्ताओं के व्यक्तिगत डेटा और तस्वीरें और उनके सभी ऋण आवेदन शामिल थे।

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Скриншоты взяты либо из открытых источников, либо были предоставлены автору доброжелателями.

बाइनरीएज सर्च इंजन के अनुसार, डेटाबेस, आकार में लगभग 158 जीबी, में 74 संग्रह शामिल थे (लगभग) खुले आधारों का पता कैसे लगाया जाता है Elasticsearch और MongoDB का डेटा (मैंने एक अलग लेख लिखा था) कम से कम 11 दिनों तक सार्वजनिक डोमेन में था।

अप्रत्यक्ष साक्ष्य के आधार पर, डेटाबेस के संभावित मालिक के बारे में एक धारणा बनाई गई थी: संग्रह के सभी (5042) उपयोगकर्ता उपयोगकर्ताओं डोमेन पर ईमेल पते थे @poslogic.pro तथा @finservice.pro और इसके अलावा, डेटाबेस का आईपी पता साइट के आईपी पते से केवल 1 भिन्न था www.finservice.pro.

स्थल www.finservice.pro यह लिखा है:

फिनसर्विस कंपनी 2012 से काम कर रही है और रूसी बाजार में पीओएस ऋण देने के क्षेत्र में एक अग्रणी स्वतंत्र वित्तीय ब्रोकर है। फिलहाल, फिनसर्विस एक बड़ी विविध होल्डिंग का हिस्सा है, इसमें 200 से अधिक कर्मचारी हैं और यह रूस के सभी क्षेत्रों में सक्रिय रूप से विस्तार कर रहा है।
हम बाजार में अग्रणी पीओएस ऋण देने वाले प्लेटफॉर्म - पॉसलॉजिक के डेवलपर और कॉपीराइट धारक हैं। प्लेटफ़ॉर्म इस सेगमेंट के सभी अग्रणी बैंकों के साथ एकीकृत है और आपको उपभोक्ता ऋण जारी करने से संबंधित प्रक्रियाओं को अनुकूलित करने, व्यापारिक संगठनों के राजस्व में वृद्धि करने और किसी भी ग्राहक अनुरोध को पूरा करने की अनुमति देता है।

मैंने गूगल पर खोजा कि पीओएस उधार क्या है (जानकारी यहां से)। www.banki.ru):

पीओएस उधार (पीओएस - प्वाइंट ऑफ सेल) बैंकों के खुदरा व्यापार की एक दिशा है, जो खुदरा दुकानों पर सीधे कुछ वस्तुओं के लिए ऋण जारी करने की सुविधा प्रदान करती है। यह व्यवसाय अत्यधिक लाभदायक होने के साथ-साथ उच्च जोखिम वाला भी माना जाता है। एक नियम के रूप में, ऐसे ऋणों को उच्च ब्याज दरों की विशेषता होती है - 30% से अधिक, लेकिन साथ ही त्वरित निर्णय लेने (एक घंटे तक)।

कंपनी ने ईमेल, फेसबुक मैसेंजर या फेसबुक पर सार्वजनिक पोस्ट के माध्यम से मेरे संदेशों का जवाब नहीं दिया। मेल info@finservice.pro, वेबसाइट पर दर्शाया गया है, बिल्कुल भी काम नहीं करता है, सोशल नेटवर्क उजाड़ हैं। मुझे वेबसाइट पर कर्मचारियों का ईमेल देखना पड़ा और उसे लिखना पड़ा। बेशक, कोई जवाब नहीं था...

हालाँकि, 21 मार्च को शाम लगभग 5 बजे (मास्को समय) डेटाबेस सार्वजनिक पहुंच से गायब हो गया। अलग से, मैं यह नोट करना चाहूंगा कि अवलोकन अवधि के दौरान, डेटाबेस को लगातार अद्यतन किया गया और नई प्रविष्टियों के साथ पूरक किया गया। उदाहरण के लिए, एक दिन में 50 से अधिक नए ऋण आवेदन सामने आए।

डेटाबेस में शामिल हैं:

• 294 हजार से अधिक उधारकर्ता: पूरा नाम, जन्म स्थान, जन्म तिथि, बच्चों की संख्या, आश्रितों की संख्या, मां का मायके का नाम, विवाहित या नहीं, शिक्षा, मोबाइल फोन नंबर, लैंडलाइन फोन नंबर, ईमेल पता, पंजीकरण पता, भौतिक पता निवास, पूर्ण पासपोर्ट विवरण।

सभी उधारकर्ता दक्षिणी, यूराल और वोल्गा संघीय जिलों (निवास पते) से थे।

• ऋणों पर 183 हजार से अधिक डेटा: ऋण का आकार, ऋण की स्थिति, जारी करने की तारीख, बैंक आईडी, उधारकर्ता आईडी, ऋण भुगतान अनुसूची, आदि।

• 819 हजार से अधिक स्कैन किए गए दस्तावेज़: दस्तावेज़ का प्रकार, फ़ाइल का नाम, जेपीजी फ़ाइल का लिंक, स्थिति, दिनांक, आदि।

  { 
  "_id" : ObjectId("5c925eb52fc14e00019d1907"), 
  "_type" : "QuestionaryDocumentScan", 
  "doctype" : "pd_agreement", 
  "title" : "Соглашение об обработке персональных данных", 
  "filename" : "1.jpg", 
  "status" : NumberInt(0), 
  "status_text" : "Загружен", 
  "questionary_id" : ObjectId("5c925c8a4624cb000141cfb5"), 
  "sent" : false, 
  "required_resend" : false, 
  "scan" : "5c925eb52fc14e00019d1907.jpg", 
  "updated_at" : ISODate("2019-03-20T15:39:33.591+0000"), 
  "created_at" : ISODate("2019-03-20T15:39:33.591+0000")
  }

• ऋण के लिए आवेदन करने वाले लोगों की 246 हजार से अधिक तस्वीरें, बिक्री केंद्रों पर वेब कैमरों से जेपीजी प्रारूप में ली गईं।

(लेख के लिए विकृत चेहरे)

• सिस्टम के 5 हजार से अधिक आंतरिक उपयोगकर्ता: पूरा नाम, जन्म तिथि, लॉगिन और हैशेड पासवर्ड, मोबाइल फोन, डोमेन पर ईमेल पते @poslogic.pro и @finservice.pro.

• 2.5 हजार से अधिक भागीदार (जाहिरा तौर पर माल की बिक्री के बिंदु जिसके लिए ऋण लिया गया था): नाम, बैंक विवरण, वास्तविक पता, कानूनी पता, संपर्क, आदि।

• 1 हजार से अधिक ऋण उत्पाद: नाम, बैंक आईडी, कमीशन राशि, आदि।

• उधारकर्ताओं की एक बहुत छोटी (862) "काली सूची"।

• और व्यक्तिगत डेटा वाली बहुत सी अन्य जानकारी।

सूचना लीक और अंदरूनी सूत्रों के बारे में समाचार हमेशा मेरे टेलीग्राम चैनल पर पाए जा सकते हैं।सूचना लीक'.

स्रोत: www.habr.com