Ricordate che io e sul mio , come sono stati resi pubblici i dettagli dei pagamenti a favore della GIBDD e della FSSP degli utenti dei siti оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net e oplata-fssp.ru?
Ma non ridete, non è affatto uno scherzo — lo stesso server con i dati della stessa sistema si è nuovamente rivelato aperto al mondo.
Bene, vediamo di capire…
Dichiarazione: tutte le informazioni seguenti sono pubblicate esclusivamente a scopo educativo. L'autore non ha avuto accesso a dati personali di terzi e aziende. Le informazioni provengono da fonti aperte o sono state fornite all'autore da anonymous benefattori.Per cominciare, ricapitoliamo un po' la cronologia degli eventi:
- 12.04.2019 (di notte) è stato scoperto un server Elasticsearch che non richiedeva autenticazione per la connessione.
- 13.04.2019 (di mattina) è stata inviata una notifica ai proprietari del server.
- 13.04.2019 (di pomeriggio) il server è stato 'silenziosamente' rimosso dall'accesso aperto.
Al momento della prima chiusura del server, gli indici di Elasticsearch apparivano così:
E così, il 21.05.2019 intorno alle 16:00 (MSK), lo stesso server Elasticsearch, con gli stessi (più nuovi) indici, è nuovamente apparso in accesso aperto:
Non credevo ai miei occhi quando ho visto (subito dopo l'intervento a PHDays sul tema della scoperta di database aperti) nella mia email una notifica da parte della nostra . A dirla tutta, la prima cosa che ho pensato è stata che fosse un qualche malfunzionamento del sistema.
Tuttavia, non era un bug e, dopo aver ricontrollato tutto manualmente, alle 01:25 del 22.05.2019 ho inviato di nuovo la notifica agli stessi indirizzi di prima.
Dalla prima chiusura, questo server è stato scansionato da Shodan 11 volte e fino al 21 maggio Elasticsearch era stato disabilitato.
Solo la mattina del 24.05.2019 questo Elasticsearch è scomparso di nuovo dall'accesso pubblico. Nel frattempo, gli indici sono cresciuti significativamente:
E se guardiamo i dati (solo le informazioni significative contenenti dati personali dei cittadini) negli indici dal 1° al 22 maggio, la situazione è la seguente:
- 127.525 record nell'indice paygibdd
- 49.627 record nell'indice shtrafov-net
- 162.282 record nell'indice oplata-fssp
- 220.201 record nell'indice gosoplata
Esempio di dati dall'indice gosoplata:
Esempio di dati dall'indice paygibdd:
E la ciliegina sulla torta è stata un'email da uno degli indirizzi a cui avevo inviato le notifiche:
Abbiamo ricevuto la tua email riguardante l'ElasticSearch aperto — grazie per l'informazione, il database è stato chiuso. L'amministratore di sistema, che aveva riaperto l'accesso, è stato licenziato. Inoltre, il servizio legale sta preparando una denuncia da inviare al Ministero degli Interni della Repubblica del Tatarstan sui presunti reati dell'amministratore di sistema ai sensi degli articoli 272 e 273 del Codice Penale della Federazione Russa.
Le notizie su fughe di informazioni e insider possono sempre essere trovate sul mio canale Telegram «»: .
Fonte: habr.com
