Հանրային տիրույթում հայտնաբերվել է MongoDB տվյալների բազա, որը չի պահանջում նույնականացում, որը պարունակում էր տեղեկություններ Մոսկվայի շտապ օգնության բժշկական կայաններից (EMS):
Ցավոք, սա միակ խնդիրը չէ. նախ, այս անգամ տվյալները իսկապես արտահոսել են, և երկրորդ, բոլոր զգայուն տեղեկատվությունը պահվել է Գերմանիայում գտնվող սերվերի վրա (Կուզենայի հարցնել՝ սա որևէ օրենք կամ գերատեսչական հրահանգ չի՞ խախտում։).
Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.
Սերվեր՝ տվյալների բազայով, որը կոչվում է «ssmp», գտնվում է Գերմանիայում հայտնի հոսթինգ պրովայդեր Hetzner-ի կայքում։
Անուղղակի ապացույցների հիման վրա հնարավոր է եղել բացահայտել սերվերի և տվյալների բազայի ենթադրյալ սեփականատիրոջը՝ ռուսական ընկերությանը «Համակարգչային ինտելեկտուալ համակարգեր» ՍՊԸ.
Ci-systems.com/solutions/programs-smp/ էջում ընկերությունը մեզ ասում է.
EMS CIS-ը ծրագրային արտադրանք է, որը նախատեսված է Ռուսաստանի Դաշնության բաղկացուցիչ սուբյեկտի սահմաններում շտապ (մասնագիտացված) բժշկական օգնության (EMS) կայանների աշխատանքը ավտոմատացնելու համար և ապահովում է.
- զանգերի ընդունում;
- զանգի գրանցում և վերահղում;
- EMS կայանների շարժական թիմերի ձևավորում, մոնիտորինգ և կառավարում;
- Արտակարգ իրավիճակների արձագանքման ժամանակ շտապ բժշկական ծառայությունների թիմերի զանգվածային վերաբաշխում.
- մեկ EMS զանգերի մշակման կենտրոնի շահագործում;
- տվյալների փոխանակում արտաքին տեղեկատվական համակարգերի հետ:
Տվյալների բազան ուներ 17.3 ԳԲ չափ և պարունակում էր.
- շտապ օգնության կանչի ամսաթիվ/ժամ
- Շտապօգնության անձնակազմի անդամների լրիվ անվանումը (ներառյալ վարորդը)
- շտապօգնության մեքենայի համարանիշը
- Շտապօգնության մեքենայի կարգավիճակը (օրինակ՝ «զանգով ժամանելը»)
- զանգի հասցեն
- Ամբողջական անունը, ծննդյան ամսաթիվը, հիվանդի սեռը
- հիվանդի վիճակի նկարագրությունը (օրինակ՝ «ջերմաստիճանը >39, վատ նվազում, մեծահասակ»)
- Շտապօգնություն զանգահարած անձի լրիվ անունը
- կոնտակտային համարը
- и многое другое
Տվյալների բազայի տվյալները նման են ինչ-որ մոնիտորինգի/հետագծման համակարգի գրանցամատյանին՝ առաջադրանքի կատարման գործընթացի համար: Հետաքրքրություն է ոլորտը»տվյալներ«աղյուսակում»assign_data_history.
(Իհարկե, վերևի նկարում ես փորձեցի թաքցնել բոլոր անձնական տվյալները):
Ինչպես գրված էր հենց սկզբում, այս անգամ նույնականացման բացակայությունը միակ խնդիրը չէ։
Ամենակարևորն այն է, որ այս տվյալների բազան առաջին անգամ հայտնաբերել են խմբից ուկրաինացի հաքերները THack3forU, որոնք հայտնաբերված MongoDB-ում թողնում են տարբեր հաղորդագրություններ և ոչնչացնում տեղեկատվությունը։ Այս անգամ տղաներն առանձնացան այսպես.
«Hacked by THack3forU! Չանել.nՊուտինը խիղճ է, nՄեդվեդևան խաբեբա է, nՍտրելկովը սրիկա է, nՌուսաստանը ներքևում է»:
և, իհարկե, այն փաստը, որ ներբեռնելով բոլոր 17 ԳԲ-ը, նրանք դրանք տեղադրեցին CSV ձևաչափով ֆայլերի հոսթինգում Mega.nz. Այն մասին, թե ինչպես են հայտնաբերվում բաց MongoDB տվյալների բազաները. .
Հենց որ հայտնաբերվեց տվյալների բազայի սեփականատերը, ես նրան ծանուցում ուղարկեցի՝ առաջարկելով դեռ փակել մուտքը տվյալների բազա, չնայած արդեն ուշ էր. տվյալները «անհետացել էին»:
Առաջին անգամ որոնման համակարգ Շոպան ձայնագրել է այս տվյալների բազան 28.06.2018/08.04.2019/17-ին, և մուտքը դրան վերջապես փակվել է 20/18/05-ին, ինչ-որ տեղ 6:XNUMX-ից XNUMX:XNUMX-ը (Մոսկվայի ժամանակով): Ծանուցումից XNUMX ժամից մի փոքր պակաս է անցել։
Տեղեկատվության արտահոսքի և ինսայդերների մասին լուրերը միշտ կարելի է գտնել իմ Telegram ալիքում»:.
Source: www.habr.com