Sve vaši potrošački krediti i osobni podaci „na jednom mjestu“...

Nastavljamo maraton curenja podataka iz ruskih baza podataka koje su njihovi vlasnici ostavili javno dostupnima.

Ovaj put otkrivena je MongoDB baza koja ne zahtijeva autentifikaciju, s osobnim podacima i fotografijama zajmoprimaca iz Južnog, Uralnog i Privoljskog federalnog okruga te svim njihovim zahtjevima za kredite.

Odricanje odgovornosti: sve informacije u nastavku objavljene su isključivo u edukacijske svrhe. Autor nije imao pristup osobnim podacima trećih strana i tvrtki. Screenshoti su preuzeti ili iz otvorenih izvora ili su ih pružili autoru dobri ljudi.

Baza podataka, veličine oko 158 GB, sadržavala je 74 kolekcije (collections), a prema podacima pretraživača BinaryEdge (o tome, kako se otkrivaju otvorene baze podataka Elasticsearch i MongoDB, pisao sam u posebnom članku), bila je dostupna javnosti najmanje 11 dana.

Na temelju neizravnih znakova donesena je pretpostavka o mogućem vlasniku baze: svi (5042) korisnika iz kolekcije users imali su adrese e-pošte na domenama @poslogic.pro i @finservice.pro a osim toga, IP adresa baze podataka razlikovala se samo za 1 od IP adrese web stranice www.finservice.pro.

Na web stranici www.finservice.pro stoji:

Tvrtka Finservice djeluje od 2012. godine i vodeći je neovisni financijski posrednik u području POS-kreditiranja na tržištu Rusije. Trenutno, Finservice je dio velike multinacionalne korporacije, zapošljava više od 200 osoba i aktivno se širi u sve regije Rusije.
Mi smo razvijači i nositelji prava vodeće platforme na tržištu POS-kreditiranja — Poslogic. Platforma je integrirana sa svim vodećim bankama u ovom segmentu i omogućava optimizaciju procesa vezanih za odobravanje potrošačkih kredita, povećanje prihoda trgovinskih organizacija i zadovoljavanje svih zahtjeva klijenata.

Pretražio sam što je POS-kreditiranje (informacije s www.banki.ru):

POS-kreditiranje (POS — Točka prodaje) je područje maloprodajnog poslovanja banaka koje predviđa odobravanje kredita za određene proizvode izravno u trgovinama. Ovaj posao smatra se vrlo profitabilnim, ali ujedno i visokorizičnim. Obično, takvi krediti imaju visoke kamatne stope — iznad 30%, ali u isto vrijeme brzu odluku (do sat vremena).

Na moje e-mail poruke, preko Facebook Messengera, preko javnog posta na Facebooku tvrtka nije odgovorila. Pošta info@finservice.pro, navedena na stranici, uopće ne radi, na društvenim mrežama je pustoš. Morao sam potražiti e-mail zaposlenika na stranici i pisati na njega. Naravno, nisam dobio nikakav odgovor...

Međutim, 21. ožujka oko 17 sati (po Moskvi) baza podataka je nestala iz slobodnog pristupa. Želim posebno napomenuti da se baza tijekom promatranja neprekidno ažurirala i dopunjavala novim zapisima. Na primjer, tijekom jednog dana u njoj je bilo više od 50 novih zahtjeva za kredite.

U bazi podataka su se nalazili:

• Više od 294 tisuće dužnika: ime i prezime, mjesto rođenja, datum rođenja, broj djece, broj uzdržavanih osoba, djevojačko prezime majke, bračni status, obrazovanje, broj mobilnog telefona, broj fiksnog telefona, adresa e-pošte, adresa prebivališta, adresa stvarnog mjesta boravka, potpuni podaci o putovnici.

Svi dužnici bili su iz Južnog, Uralnog i Volga federalnih okruga (adrese prebivališta).

• Više od 183 tisuće podataka o kreditima: iznos kredita, status kredita, datum odobrenja, identifikator banke, identifikator dužnika, raspored otplata kredita itd.

• Više od 819 tisuća skeniranih dokumenata: tip dokumenta, naziv datoteke, link na JPG-datoteku, status, datum itd.

  { 
  "_id" : ObjectId("5c925eb52fc14e00019d1907"), 
  "_type" : "QuestionaryDocumentScan", 
  "doctype" : "pd_agreement", 
  "title" : "Sporazum o obradi osobnih podataka", 
  "filename" : "1.jpg", 
  "status" : NumberInt(0), 
  "status_text" : "Učitano", 
  "questionary_id" : ObjectId("5c925c8a4624cb000141cfb5"), 
  "sent" : false, 
  "required_resend" : false, 
  "scan" : "5c925eb52fc14e00019d1907.jpg", 
  "updated_at" : ISODate("2019-03-20T15:39:33.591+0000"), 
  "created_at" : ISODate("2019-03-20T15:39:33.591+0000")
  }

• Više od 246 tisuća fotografija osoba koje su podnosile zahtjeve za kredite, snimljenih s web kamera u prodajnim mjestima, u JPG formatu.

(lica iskrivljena za članak)

• Više od 5 tisuća unutarnjih korisnika sustava: ime, datum rođenja, korisničko ime i heširana lozinka, mobilni telefon, adrese e-pošte s domena @poslogic.pro i @finservice.pro.

• Više od 2,5 tisuća partnera (očito prodajnih mjesta roba na kojima su uzimani krediti): naziv, bankovni podaci, stvarna adresa, pravna adresa, kontakti itd.

• Više od 1 tisuću kreditnih proizvoda: naziv, identifikator banke, iznos provizije itd.

• Veoma mali (862) „crni popis“ zajmoprimaca.

• i mnogo drugih informacija koje sadrže osobne podatke.

Vijesti o curenjima informacija i insajderima uvijek možete pronaći na mom Telegram kanalu „Curenja informacija».

Izvor: habr.com