Dati medici – , dati sui crediti – , questa volta è arrivato il turno dei dati sui pagamenti per multe del GIBDD e debiti dovuti ai procedimenti esecutivi dell'agenzia di esecuzione giudiziaria.
La buona notizia è che questi pagamenti non sono collegati al sito ufficiale dei servizi statali. La cattiva notizia è che i dati sono molti e sono più che 'personali'.
Dichiarazione: tutte le informazioni seguenti sono pubblicate esclusivamente a scopo educativo. L'autore non ha avuto accesso a dati personali di terzi e aziende. Le informazioni provengono da fonti aperte o sono state fornite all'autore da anonymous benefattori.Nella notte del 12 aprile è stato scoperto un server Elasticsearch che non richiedeva autenticazione per il collegamento. Riguardo a come vengono scoperti i database Elasticsearch Negli indici di Elasticsearch erano registrati i log di un certo sistema informativo (SI). È stato ipotizzato un collegamento tra questo server e i siti che accettano pagamenti a favore di vari servizi statali:
Negli indici di Elasticsearch erano contenuti i log di un certo sistema informativo (SI). Si è ipotizzato un collegamento di questo server con i siti che ricevono pagamenti a favore di vari servizi pubblici: оплатагибдд.рф, paygibdd.ru, gos-oplata.ru, штрафов.net e oplata-fssp.ru.
Al mattino del 13.04.2019 ho inviato una notifica agli indirizzi email: support@gos-oplata.ru, support@oplata-fssp.ru, support@paygibdd.ru, ma non ho ricevuto risposta (come spesso accade). Il server è stato silenziosamente 'chiuso' ed è scomparso dall'accesso pubblico il 13.04.2019 intorno alle 15:20-15:45 (MSK).
Al momento della chiusura del server, gli indici di Elasticsearch apparivano così:
Ora passiamo alla parte più interessante: i dati personali. Come ho scritto in precedenza, negli indici c'erano alcuni log di un certo SI. E come spesso accade, i log risultavano molto dettagliati, persino troppo.
I log erano registrati a partire dal 28.02.2019, e non per tutto il tempo di operatività del SI. In alcuni indici i dati risalivano al 17.03.2019.
Ad esempio, dai log dell'indice gosoplata si poteva ottenere quanto segue (in totale 248365 escludendo il log degli errori):
{
"_index": "gosoplata",
"_type": "log",
"@timestamp": "2019-03-02T20:55:02+03:00",
"message": "Accredito trovato nel GIS",
"extra": "[n 'gis_info' => unserialize('O:34:"app\models\payment\api\PenaltyInfo":10:{s:10:"billNumber";s:20:"ХХХХХ021170025955001";s:8:"billDate";s:10:"2017-04-03";s:10:"validUntil";s:10:"2017-06-03";s:6:"amount";s:9:"146030.26";s:7:"addInfo";s:1424:"Pagamento del debito per l'IP № ХХХХХ/17/ ХХХХХ -IP del 03.04.2017 nei confronti di МИХХХ Х. Х., Debito per pagamenti di credito (esclusa l'ipoteca)///UIN32253021170025955001_IP0;Dipartimento: UFK PER LA REGIONE DI NOVGOROD (OSP DEI DISTRETTI DI NOVGOROD, BATETSKY E KRESTETSKY DELL'UFF. RUSSO PER LA REGIONE DI NOVGOROD L/S 05501845860);Beneficiario: UFK PER LA REGIONE DI NOVGOROD (OSP DEI DISTRETTI DI NOVGOROD, BATETSKY E KRESTETSKY DELL'UFF. RUSSO PER LA REGIONE DI NOVGOROD L/S 05501845860);Banca del beneficiario: FILIALE DI NOVGOROD;Numero del conto del beneficiario: 40302810400001000005;TIN: 5321100670;KPP: 532132002;BIC della banca del beneficiario: 044959001;OKATO: 49625000;KBK: 0;idDebtsum:146540.26;ipPaymentAmount:0.00;ipOperationAmount:0.00;dataUnloadDate:2018-12-04T11:26:19.000;dataIdDate:2017-01-27;dataIdNumber:2-53/2017;dataIpRiseDate:2017-04-03;dataIpNumber: ХХХХХ/17/ХХХХХ-IP;dataIdDbtrFio:МИХХХ ХХХ ХХХ;dataIdDbtrBorn:ХХХ-09-03;dataIdDebtText:Debito per pagamenti di credito (esclusa l'ipoteca);";s:7:"docName";s:3:"inn";s:9:"docNumber";s:12:" ХХХХХ0819584";s:9:"payStatus";s:1:"0";s:9:"quittance";s:1:"3";s:11:"amountToPay";s:9:"146030.26";}'),n]",
"context": "[n '_GET' => [],n '_POST' => [],n]"
}
}Ho sostituito tutti i dati sensibili con il simbolo 'X'. In realtà, tutto era conservato in forma aperta.
Dall'indice oplata-fssp (in totale 283958 escludendo gli errori):
{
"_index": "oplata-fssp",
"_type": "log",
"@timestamp": "2019-02-28T22:17:24+03:00",
"extra": "[n 'request_data' => [n 'MNT_ID' => 'ХХХХХ3280',n 'MNT_TRANSACTION_ID' => ''ХХХХХ0795c78337a5a308',n 'MNT_OPERATION_ID' => ''ХХХХХ 3232',n 'MNT_AMOUNT' => '544.00',n 'MNT_CURRENCY_CODE' => 'RUB',n 'MNT_TEST_MODE' => '0',n 'MNT_SIGNATURE' => '6435224ccХХХХХХХ10bbc970f6479787',n 'paymentSystem_unitId' => '1686945',n 'MNT_CORRACCOUNT' => '303',n 'MNT_PAY_SYSTEM' => 'payanyway',n 'MNT_IS_REGULAR' => '',n 'MNT_FORM_METHOD' => 'POST',n 'cardnumber' => '639002********7417',n ],n 'model_attributes' => [n 'id' => 482137,n 'parent_id' => null,n 'name' => 'ПОХХХ ГАЛИНА ГХХХ',n 'ur' => 0,n 'birthdate' => 'ХХХХ-06-06',n 'doc_type' => null,n 'doc_value' => null,n 'hash' => ''ХХХХХ795c78337a5a308',n 'created_at' => '2019-02-28 22:16:10',n 'form_url' => 'https://service.moneta.ru/assistant.widget? 'ХХХХХ&MNT_CURRENCY_CODE=RUB&MNT_AMOUNT=544.00&MNT_DESCRIPTION=Pagamento del debito FSSP. Ordine N482137 UIN: 32223088190136500007 Procedura: ХХХХХХ/19/ХХХХХ-ИП&MNT_TEST_MODE=0&'ХХХХХ &MNT_SUCCESS_URL=https://oplata-fssp.ru/payment/success&MNT_FAIL_URL=https://oplata-fssp.ru/payment/fail&MNT_PAY_SYSTEM=payanyway&MNT_IS_REGULAR=&MNT_FORM_METHOD=POST&followup=true',n 'email' => ''ХХХХХ@bk.ru',n 'payment_system_id' => 'moneta',n 'transaction_id' => '338533232',n 'updated_at' => '2019-02-28 22:16:16',n 'a3_order_hash' => null,n 'receipt_send' => null,n 'receipt_status_id' => null,n 'payment_status_id' => 'callback_received',n 'lead_source' => 'fssp',n ],n]",
"context": "[n '_GET' => [],n '_POST' => [n 'MNT_ID' => ''ХХХХХ280',n 'MNT_TRANSACTION_ID' => ''ХХХХХ795c78337a5a308',n 'MNT_OPERATION_ID' => ''ХХХХХ3232',n 'MNT_AMOUNT' => '544.00',n 'MNT_CURRENCY_CODE' => 'RUB',n 'MNT_TEST_MODE' => '0',n 'MNT_SIGNATURE' => '6435224cc'ХХХХХ10bbc970f6479787',n 'paymentSystem_unitId' => ''ХХХХХ45',n 'MNT_CORRACCOUNT' => '303',n 'MNT_PAY_SYSTEM' => 'payanyway',n 'MNT_IS_REGULAR' => '',n 'MNT_FORM_METHOD' => 'POST',n 'cardnumber' => '639002********7417',n ],n]"
}
}Qui si vede (il valore cardnumber), che dalla fuga di numeri di carte di credito completi, sono stati protetti solo dal fatto che il gateway di pagamento (in questo caso moneta.ru) non ha fornito dati di questo sistema in forma aperta (solo le prime 6 e le ultime 4 cifre del numero della carta).
Dai log è emerso che il sito ufficiale della FSSP offre ai cittadini la possibilità di effettuare pagamenti tramite questo sistema: is.fssprus.ru/pay/?service=gosoplata&pay=XXXXX/18/XXXXX-IP. Il che è indirettamente confermato dal testo in fondo alla pagina. oplata-fssp.ru:
Diamo un'occhiata alle multe per violazioni del codice della strada. Chiaramente, i registri risponderanno a questo. shtrafov-net (4528 registrazioni escluse le errori) e paygibdd (140666 registrazioni escluse le errori):
{
"_index": "shtrafov-net",
"_type": "log",
"@timestamp": "2019-03-17T17:16:51+03:00",
"message": "INSERT INTO customer (doc_type, doc_value, licence_plate, vehicle_model) VALUES ('ctc', '99026XXXXX', 'XXXXXRMX', 'LAND ROVER RANGE ROVER')",
"context": "[n '_GET' => [],n '_POST' => [n 'postdate' => '10/03/2019',n 'postnum' => '18810018180002XXXXX',n 'postsum' => '1000',n 'divid' => '1194040',n 'uin' => '18810018180002XXXXX',n 'regnum' => 'XXXXXRM',n 'regreg' => '1X',n 'reg' => 'XXXXX34084',n 'discount' => '1',n 'discountdate' => '01/04/2019 23:59:59',n 'allfines' => '[{"Discount":"1","enableDiscount":false,"DateDecis":"2019-03-10 09:05:00","KoAPcode":"12.6","DateDiscount":"01/04/2019 23:59:59","VehicleModel":"LAND ROVER RANGE ROVER","KoAPtext":"GUIDARE UN VEICOLO SENZA CINTURA DI SICUREZZA, TRASPORTARE PASSEGGERI SENZA CINTURE, SE IL VEICOLO È DOTATO DI CINTURE, E GUIDARE UNA MOTO O TRASPORTARE PASSEGGERI SENZA CASCO O CON CASCHI NON ALLACCIATI","NumPost":"18810018180002XXXXX","kbk":"18811630020016000140","Summa":1000,"Division":1194040,"enablePics":false,"id":"18#FF474785255","SupplierBillID":"18810018180002XXXXX","DatePost":"10/03/2019"},{"Discount":"1","enableDiscount":false,"DateDecis":"2019-03-08 14:55:00","KoAPcode":"12.9ч.2","DateDiscount":"01/04/2019 23:59:59","VehicleModel":"LAND ROVER RANGE ROVER","KoAPtext":"SUPERAMENTO DEL LIMITE DI VELOCITÀ DI OLTRE 20, MA NON PIÙ DI 40 KM/H","NumPost":"18810118190312XXXXX","kbk":"18811630020016000140","Summa":500,"Division":1194010,"enablePics":true,"id":"18#18810118190312XXXXX","SupplierBillID":"18810118190312XXXXX","DatePost":"12/03/2019"}]',n ],n]"
}
{
"_index": "paygibdd",
"_type": "log",
"@timestamp": "2019-02-28T17:30:57+03:00",
"message": "Richiesta di pagamento ricevuta",
"extra": "[n 'request_data' => [n 'postdate' => '02.10.2017',n 'postnum' => '188101161710029XXXXX',n 'postsum' => '500',n 'divid' => '1192201',n 'uin' => '188101161710029XXXXX',n 'regnum' => 'XXXXXCB',n 'regreg' => '1XX',n 'reg' => '16462XXXXX',n 'discount' => '1',n 'discountdate' => '2017-10-23 23:59:59',n 'allfines' => '[{"Discount":"0","DateDecis":"2016-12-17 02:30:00","KoAPcode":"12.26ч.1","KoAPtext":"NON CUMPLIMENTO DELL'ORDINE LEGALE DEL POLIZIOTTO PER L'ESAME MEDICO SULLA CONDIZIONE DI UBRIACHEZZA","NumPost":"188104121603000XXXXX","kbk":"18811630020016000140","Summa":"30000","Division":1188030,"enablePics":false,"id":"12#FF176064188","SupplierBillID":"188104121603000XXXXX","DatePost":"2017-03-06","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2017-09-18 14:32:00","KoAPcode":"12.9ч.2","DateDiscount":"2017-10-23 23:59:59","KoAPtext":"SUPERAMENTO DEL LIMITE DI VELOCITÀ DI OLTRE 20, MA NON PIÙ DI 40 KM/H","NumPost":"188101161710029XXXXX","kbk":"18811630020016000140","Summa":"500","Division":1192201,"enablePics":true,"id":"16#43522519023478911XXXXX","SupplierBillID":"188101161710029XXXXX","DatePost":"2017-10-02","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2017-11-01 04:23:00","KoAPcode":"12.9ч.2","DateDiscount":"2017-11-24 23:59:59","KoAPtext":"SUPERAMENTO DEL LIMITE DI VELOCITÀ DI OLTRE 20, MA NON PIÙ DI 40 KM/H","NumPost":"18810116171104XXXXX","kbk":"18811630020016000140","Summa":"500","Division":1192201,"enablePics":true,"id":"16#44211639030358281XXXXX","SupplierBillID":"1881011617110XXXXX","DatePost":"2017-11-04","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2017-10-31 12:08:00","KoAPcode":"12.9ч.2","DateDiscount":"2017-11-27 23:59:59","KoAPtext":"SUPERAMENTO DEL LIMITE DI VELOCITÀ DI OLTRE 20, MA NON PIÙ DI 40 KM/H","NumPost":"188101161711056XXXXX","kbk":"18811630020016000140","Summa":"500","Division":1192201,"enablePics":true,"id":"16#44236760030609331XXXXX","SupplierBillID":"188101161711056XXXXX","DatePost":"2017-11-05","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2018-01-27 23:46:00","KoAPcode":"12.37ч.2","DateDiscount":"2018-02-16 23:59:59","KoAPtext":"NON CUMPLIMENTO DELL'OBBLIGO DEL PROPRIETARIO DEL VEICOLO PREVISTO DALLA LEGGE FEDERALE SULL'ASSICURAZIONE O ASSICURARE UN VEICOLO SE TALE ASSICURAZIONE È MANIFESTAMENTE ASSENTE","NumPost":"188102161820027XXXXX","kbk":"18811630020016000140","Summa":"800","Division":1192200,"enablePics":false,"id":"16#4516501003986993XXXXX","SupplierBillID":"188102161820027XXXXX","DatePost":"2018-01-27","DateSSP":null}]',n ],n]",
Riassumendo quanto scritto sopra: erano disponibili informazioni dettagliate sui pagamenti in forma aperta: numero della sentenza, numero di targa del veicolo, numero dell'esecuzione forzata per il pagamento a favore del servizio dei funzionari giudiziari, le prime e le ultime cifre delle carte bancarie, il gateway di pagamento utilizzato, il nome e l'indirizzo email del pagante e molto altro.
Per un giorno selezionato (12.04) nei registri si trovavano (registrazioni):
shtrafov-net 251
paygibdd 3821
gosoplata 20676
oplata-fssp 15277Il motore di ricerca Shodan ha scoperto per la prima volta questo server in accesso pubblico il 24.02.2019.
Le notizie su fughe di informazioni e insider possono sempre essere trovate sul mio canale Telegram «».
Fonte: habr.com
