Minden fogyasztói hitel és személyes adat „egy helyen”…

Folytatjuk a már folyó adatbázis szivárgások maratonját Oroszországból, amelyeket a tulajdonosok nyilvános hozzáférésre hagytak.

Ezúttal egy MongoDB adatbázist fedeztek fel, amely nem igényel hitelesítést, tartalmazva a hitelfelvevők személyes adatait és fényképeit a Déli, Uráli és Volga szövetségi körzetekből, valamint az összes hitelkérelmüket.

Nyilatkozat: az alábbi információk kizárólag oktatási célból kerülnek közzétételre. A szerző nem kapott hozzáférést harmadik fél és cégek személyes adataihoz. A képernyőképek vagy nyilvános forrásokból származnak, vagy jószándékú emberek biztosították azokat a szerzőnek.

Az adatbázis körülbelül 158 GB méretű volt, 74 kollekciót (collections) tartalmazott, és a BinaryEdge kereső adatai szerint (amelyről hogyan fedeznek fel nyitott adatbázisokat Elasticsearch és MongoDB esetén külön cikket írtam) legalább 11 napig szabad hozzáféréssel rendelkezett.

Közvetett jelek alapján feltételezést tettek a lehetséges adatbázis-tulajdonosra: az összes (5042) felhasználó a kollekcióból Miután megállapítottuk, hogy ki küldte a kérést, meg kell határoznunk, hogy az adott alanynak mit engedélyeztek. Egyes szolgáltatásrácsok lehetővé teszik alapvető irányelvek (arról, hogy ki mit tehet) megadását YAML-fájlok formájában vagy parancssoron, míg mások integrációt kínálnak olyan keretrendszerekkel, mint az email címmel rendelkezett az alábbi domain-en @poslogic.pro és @finservice.pro továbbá az adatbázis IP-címe csupán 1-el tért el a weboldal IP-címétől www.finservice.pro.

A weboldalon www.finservice.pro az áll:

A Finservice cég 2012 óta működik, és vezető független pénzügyi bróker a POS-hitelezés területén az orosz piacon. Jelenleg a Finservice egy nagy, sokoldalú holding része, több mint 200 alkalmazottal rendelkezik és aktív expanziót folytat az orosz régiókban.
Mi vagyunk a piac vezető POS-hitelezési platformjának fejlesztői és jogtulajdonosai — Poslogic. A platform integrálva van az összes vezető bankkal ebben a szegmensben, és lehetővé teszi a fogyasztói hitelek kiadásával kapcsolatos folyamatok optimalizálását, a kereskedők bevételének növelését és minden ügyféligény kielégítését.

Megnéztem, mi az a POS-hitelezés (információ a www.banki.ru):

A POS hitel (POS - Point Of Sale) a bankok kiskereskedelmi üzletágához tartozik, amely lehetővé teszi a hitelek közvetlen kiadását bizonyos árukra a kereskedelmi helyszíneken. Ez az üzletág magas jövedelmezőségéről ismert, azonban egyben magas kockázattal is jár. Jellemzően ezeket a hiteleket magas kamatlábak jellemzik - meghaladják a 30%-ot - ugyanakkor a döntéshozatali folyamat gyors (egy órán belül).

A Facebook Messenger-en, e-mailben, vagy nyilvános posztban küldött üzeneteimre a cég nem reagált. E-mail info@finservice.pro, amelyet a weboldalon megadtak, egyáltalán nem működik, a közösségi médiában felfordulás van. Keresnem kellett a weboldalon a dolgozók e-mail címét és arra írtam. Természetesen semmilyen válasz nem érkezett...

Március 21-én körülbelül 5 órakor (moszkvai idő) az adatbázis eltűnt a nyilvános hozzáférésből. Külön szeretném hangsúlyozni, hogy a megfigyelés alatt az adatbázis folyamatosan frissült és új bejegyzésekkel bővült. Például egyetlen nap alatt több mint 50 új hitelkérelem jelent meg benne.

Az adatbázis a következőket tartalmazta:

• Több mint 294 ezer adós: név, születési hely, születési dátum, gyermekek száma, eltartottak száma, édesanya leánykori neve, házassági állapot, iskolai végzettség, mobiltelefon szám, vezetékes telefon szám, e-mail cím, lakcím, tényleges tartózkodási cím, teljes személyazonosító adatok.

Minden adós Dél-, Urál- és Volga szövetségi körzetekből származott (lakcímek).

• Több mint 183 ezer hiteladata: hitel összege, hitel státusz, kiadás dátuma, bank azonosítója, adós azonosítója, a hitel törlesztési ütemezése stb.

• Több mint 819 ezer beolvasott dokumentum: dokumentum típusa, fájl neve, JPG fájlra mutató hivatkozás, státusz, dátum stb.

  { 
  "_id" : ObjectId("5c925eb52fc14e00019d1907"), 
  "_type" : "QuestionaryDocumentScan", 
  "doctype" : "pd_agreement", 
  "title" : "Személyes adatok kezeléséről szóló megállapodás", 
  "filename" : "1.jpg", 
  "status" : NumberInt(0), 
  "status_text" : "Feltöltve", 
  "questionary_id" : ObjectId("5c925c8a4624cb000141cfb5"), 
  "sent" : false, 
  "required_resend" : false, 
  "scan" : "5c925eb52fc14e00019d1907.jpg", 
  "updated_at" : ISODate("2019-03-20T15:39:33.591+0000"), 
  "created_at" : ISODate("2019-03-20T15:39:33.591+0000")
  }

• Több mint 246 ezer fénykép emberekről, akik hitelkérelmet nyújtottak be, webkamerával készítve az eladási pontokon, JPG formátumban.

(az arcok eltorzítva a cikkhez)

• Több mint 5000 belső felhasználó a rendszerben: név, születési dátum, felhasználónév és titkosított jelszó, mobiltelefon, e-mail címek a domaineken. @poslogic.pro és @finservice.pro.

• Több mint 2500 partnere (láthatóan értékesítési pontok, amelyekre kölcsönöket vettek fel): név, banki adatok, tényleges cím, jogi cím, elérhetőségek stb.

• Több mint 1000 hiteltermék: név, bank azonosa, díj mértéke stb.

• Nagyon kis (862) „fekete lista” a kölcsönzőkről.

• és nagyon sok más információ, ami személyes adatokat tartalmaz.

Hírek az információszivárgásokról és az insider-ekről mindig megtalálhatók a Telegram-csatornámon „Információszivárgások».

Forrás: habr.com