Ricordate che ho e sul mio , come i dettagli dei pagamenti a favore della GIBDD e della FSSP degli utenti dei siti оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net e oplata-fssp.ru?
Ma non ridete, non è affatto uno scherzo: lo stesso server con i dati dello stesso sistema è tornato ad essere accessibile a tutto il mondo.
Allora, iniziamo a fare chiarezza...
Dichiarazione di non responsabilità: tutte le informazioni qui di seguito sono pubblicate esclusivamente a scopo educativo. L'autore non ha avuto accesso a dati personali di terzi e aziende. Le informazioni sono state ottenute da fonti aperte o fornite all'autore da anonimi benintenzionati.Per cominciare, voglio ricordare un po' la cronologia degli eventi:
- Nella notte del 12.04.2019 è stato scoperto un server Elasticsearch, che non richiede autenticazione per la connessione.
- La mattina del 13.04.2019 è stata inviata una notifica ai proprietari del server.
- Nel pomeriggio del 13.04.2019 il server è stato "silenziosamente" rimosso dall'accesso pubblico.
Al momento della prima chiusura del server, gli indici Elasticsearch apparivano così:
E così, il 21.05.2019 intorno alle 16:00 (MSK), lo stesso server Elasticsearch, con gli stessi (più nuovi) indici, riappare in accesso aperto:
Non potevo credere ai miei occhi quando ho visto (subito dopo la mia presentazione a PHDays sul tema della scoperta di database aperti) una notifica nella mia email dalla nostra . A essere sincero, la prima cosa che ho pensato è stata che si trattasse di un errore del sistema.
Tuttavia, no, non era un errore e ricontrollando tutto manualmente, alle 01:25 già del 22.05.2019 ho nuovamente inviato una notifica agli stessi indirizzi di prima.
Dalla prima chiusura, questo server è stato scannerizzato 11 volte da Shodan e fino al 21 maggio Elasticsearch era stato protetto.
Solo la mattina del 24.05.2019 questo Elasticsearch è scomparso di nuovo dall'accesso aperto. Durante questo tempo, gli indici erano cresciuti notevolmente:
E se guardiamo i dati (solo informazioni significative contenenti dati personali dei cittadini) negli indici per il periodo dal 1° al 22 maggio, la situazione è la seguente:
- 127.525 registrazioni nell'indice paygibdd
- 49.627 registrazioni nell'indice shtrafov-net
- 162.282 registrazioni nell'indice oplata-fssp
- 220.201 registrazioni nell'indice gosoplata
Esempio di dati dall'indice gosoplata:
Esempio di dati dall'indice paygibdd:
E la ciliegina sulla torta è stata una lettera da uno dei destinatari a cui ho inviato le notifiche:
Abbiamo ricevuto la tua email riguardante l'ElasticSearch aperto — grazie per l'informazione, il database è stato chiuso. L'amministratore di sistema che ha riaperto l'accesso è stato licenziato. Inoltre, il servizio legale sta preparando di inviare al Ministero degli Interni della Repubblica del Tatarstan una richiesta sui segni di composizione degli atti dell'amministratore di sistema secondo gli articoli 272 e 273 del Codice Penale della Federazione Russa.
Le notizie sulle violazioni di informazioni e sugli insider possono sempre essere trovate nel mio canale Telegram «»: .
Fonte: habr.com
