שניים באחד: נתוני תיירות וכרטיסים לאירועי תרבות היו זמינים לציבור

היום נסתכל על שני מקרים בבת אחת - הנתונים של לקוחות ושותפים של שתי חברות שונות לחלוטין היו זמינים באופן חופשי "בזכות" שרתי Elasticsearch פתוחים עם יומני מערכות מידע (IS) של חברות אלו.

במקרה הראשון, מדובר בעשרות אלפי (ואולי מאות אלפים) כרטיסים לאירועי תרבות שונים (תיאטראות, מועדונים, טיולי נהרות וכו') הנמכרים באמצעות מערכת הרדיו (www.radario.ru).

במקרה השני, מדובר בנתונים על נסיעות תיירותיות של אלפי (אולי כמה עשרות אלפי) מטיילים שקנו סיורים דרך סוכנויות נסיעות המחוברות למערכת Sletat.ru (www.sletat.ru).

ברצוני לציין מיד שלא רק שמות החברות שאפשרו את הפיכת הנתונים לציבור שונים, אלא גם הגישה של חברות אלו לזהות את האירוע והתגובה לאחר מכן אליו. אבל דבר ראשון…

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

מקרה ראשון. "רדיו"

בערב 06.05.2019/XNUMX/XNUMX המערכת שלנו גילה ששרת Elasticsearch זמין באופן חופשי, בבעלות שירות מכירת הכרטיסים האלקטרוני Radario.

על פי המסורת העצובה שכבר הוקמה, השרת הכיל יומנים מפורטים של מערכת המידע של השירות, מהם ניתן היה לקבל נתונים אישיים, כניסות משתמש וסיסמאות, וכן את הכרטיסים האלקטרוניים עצמם לאירועים שונים ברחבי הארץ.

הנפח הכולל של היומנים עלה על 1 TB.

לפי מנוע החיפוש Shodan, השרת זמין לציבור מאז 11.03.2019 במרץ 06.05.2019. הודעתי לעובדי Radario ב-22/50/07.05.2019 בשעה 09:30 (MSK) וב-XNUMX/XNUMX/XNUMX בערך בשעה XNUMX:XNUMX השרת הפך לבלתי זמין.

היומנים הכילו אסימון הרשאה אוניברסלי (יחיד), המספק גישה לכל הכרטיסים שנרכשו באמצעות קישורים מיוחדים, כמו:

http://radario.ru/internal/tickets/XXXXXXXX/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

http://radario.ru/internal/orders/YYYYYYY/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

הבעיה הייתה גם שכדי להתחשב בכרטיסים, נעשה שימוש במספור רציף של הזמנות ובספירה פשוטה של ​​מספר הכרטיס (XXXXXXXX) או להזמין (יאיייייי), ניתן היה לקבל את כל הכרטיסים מהמערכת.

כדי לבדוק את הרלוונטיות של מסד הנתונים, אפילו קניתי לעצמי בכנות את הכרטיס הזול ביותר:

ומאוחר יותר מצא אותו בשרת ציבורי ביומני ה-IS:

http://radario.ru/internal/tickets/11819272/print?access_token==******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

בנפרד, אני רוצה להדגיש שהיו כרטיסים זמינים הן לאירועים שכבר התקיימו והן לאלו שעדיין בתכנון. כלומר, תוקף פוטנציאלי יכול להשתמש בכרטיס של מישהו אחר כדי להיכנס לאירוע המתוכנן.

בממוצע, כל אינדקס Elasticsearch המכיל יומנים ליום מסוים אחד (החל מ-24.01.2019/07.05.2019/25 עד 35/XNUMX/XNUMX) הכיל בין XNUMX ל-XNUMX אלף כרטיסים.

בנוסף לכרטיסים עצמם, האינדקס הכיל כניסות (כתובות דואר אלקטרוני) וסיסמאות טקסט לגישה לחשבונות האישיים של שותפי Radario שמוכרים כרטיסים לאירועים שלהם באמצעות שירות זה:

Content: "ReturnUrl=&UserEmail=***@yandex.ru&UserPassword=***"

בסך הכל, זוהו יותר מ-500 זוגות כניסה/סיסמה. נתונים סטטיסטיים של מכירת כרטיסים גלויים בחשבונות האישיים של השותפים:

זמינים לציבור גם השמות, מספרי הטלפון וכתובות האימייל של קונים שהחליטו להחזיר כרטיסים שנרכשו בעבר:

"Content": "{"name":"***","surname":"*** ","middleName":"Евгеньевна ","passportType":1,"passportNumber":"","passportIssueDate":"11-11-2011 11:11:11","passportIssuedBy":"","email":"***@mail.ru","phone":"+799*******","ticketNumbers":["****24848","****948732"],"refundReason":4,"comment":""}"

ביום אחד שנבחר באקראי התגלו יותר מ-500 רשומות כאלה.

קיבלתי תשובה להתראה מהמנהל הטכני של Radario:

אני המנהל הטכני של Radario וברצוני להודות לך על זיהוי הבעיה. כידוע, סגרנו גישה לאלסטיק ופותרים את סוגיית הנפקה מחדש של כרטיסים ללקוחות.

קצת מאוחר יותר החברה פרסמה הצהרה רשמית:

נתגלתה פגיעות במערכת מכירת הכרטיסים האלקטרונית של Radario ותוקנה באופן מיידי, מה שעלול להוביל לדליפת נתונים מלקוחות השירות, אמר מנהל השיווק של החברה, קיריל מאלישב, לסוכנות הידיעות של מוסקבה.

"למעשה גילינו פגיעות בפעולת המערכת הקשורה לעדכונים רגילים, אשר תוקנה מיד לאחר הגילוי. כתוצאה מהפגיעות, בתנאים מסוימים, פעולות לא ידידותיות של צדדים שלישיים עלולות להוביל לדליפת נתונים, אך לא נרשמו תקריות. כרגע בוטלו כל התקלות", אמר ק' מלישב.

נציג החברה הדגיש כי הוחלט להנפיק מחדש את כל הכרטיסים שנמכרו במהלך פתרון הבעיה על מנת לבטל לחלוטין את האפשרות של כל הונאה כלפי לקוחות השירות.

כמה ימים לאחר מכן, בדקתי את זמינות הנתונים באמצעות הקישורים שדלפו - הגישה לכרטיסים ה"חשופים" אכן הייתה מכוסה. לדעתי מדובר בגישה מוכשרת ומקצועית לפתרון בעיית דליפת הנתונים.

מקרה שני. "Fly.ru"

מוקדם בבוקר 15.05.2019/XNUMX/XNUMX מודיעין של DeviceLock לפריצת נתונים זיהה שרת Elasticsearch ציבורי עם יומנים של IS מסוים.

מאוחר יותר נקבע כי השרת שייך לשירות בחירת הסיורים "Sletat.ru".

מתוך אינדקס cbto__0 ניתן היה להשיג אלפי (11,7 אלף כולל כפילויות) של כתובות דוא"ל, כמו גם פרטי תשלום (עלויות סיור) ונתוני טיול (מתי, איפה, פרטי כרטיס טיסה כל מטיילים הכלולים בסיור וכו') בהיקף של כ-1,8 אלף רשומות:

"full_message": "Получен запрос за создание платежного средства: {"SuccessReturnUrl":"https://sletat.ru/tour/7-1939548394-65996246/buy/?ClaimId=b5e3bf98-2855-400d-a93a-17c54a970155","ErrorReturnUrl":"https://sletat.ru/","PaymentAgentId":15,"DocumentNumber":96629429,"DocumentDisplayNumber":"4451-17993","Amount":36307.0,"PaymentToolType":3,"ExpiryDateUtc":"2020-04-03T00:33:55.217358+03:00","LifecycleType":2,"CustomerEmail":"[email protected]","Description":"","SettingsId":"8759d0dd-da54-45dd-9661-4e852b0a1d89","AdditionalInfo":"{"TourOfficeAdditionalInfo":{"IsAdditionalPayment":false},"BarrelAdditionalInfo":{"Tickets":[{"Passenger":{"FIO":"XXX VIKTORIIA"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX ANDREI"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX Andrei"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false}],"Segments":[{"Flight":"5659","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"LED","DepartureAirport":"LED","DepartureAirportIataCode":"LED","DepartureDate":"2019-04-11T02:45:00","DepartureTime":null,"ArrivalCity":"SHJ","ArrivalAirport":"SHJ","ArrivalAirportIataCode":"SHJ","ArrivalDate":"2019-04-11T09:40:00","ArrivalTime":null,"FareCode":null},{"Flight":"5660","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"SHJ","DepartureAirport":"SHJ","DepartureAirportIataCode":"SHJ","DepartureDate":"2019-04-14T10:45:00","DepartureTime":null,"ArrivalCity":"LED","ArrivalAirport":"LED","ArrivalAirportIataCode":"LED","ArrivalDate":"2019-04-14T15:50:00","ArrivalTime":null,"FareCode":null}]},"Tickets":[{"Passenger":{"FIO":"XXX VIKTORIIA"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX ANDREI"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX Andrei"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false}],"Segments":[{"Flight":"5659","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"LED","DepartureAirport":"LED","DepartureAirportIataCode":"LED","DepartureDate":"2019-04-11T02:45:00","DepartureTime":null,"ArrivalCity":"SHJ","ArrivalAirport":"SHJ","ArrivalAirportIataCode":"SHJ","ArrivalDate":"2019-04-11T09:40:00","ArrivalTime":null,"FareCode":null},{"Flight":"5660","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"SHJ","DepartureAirport":"SHJ","DepartureAirportIataCode":"SHJ","DepartureDate":"2019-04-14T10:45:00","DepartureTime":null,"ArrivalCity":"LED","ArrivalAirport":"LED","ArrivalAirportIataCode":"LED","ArrivalDate":"2019-04-14T15:50:00","ArrivalTime":null,"FareCode":null}]}","FinancialSystemId":9,"Key":"18fe21d1-8c9c-43f3-b11d-6bf884ba6ee0"}"

אגב, הקישורים לסיורים בתשלום די עובדים:

באינדקסים עם שם grylog_ בטקסט ברור היו כניסות וסיסמאות של סוכנויות נסיעות המחוברות למערכת Sletat.ru ומוכרות סיורים ללקוחותיהן:

"full_message": "Tours by request 155213901 added to local cache with key 'user_cache_155213901' at 5/6/2019 4:49:07 PM, rows found 0, sortedPriceLength 215. QueryString: countryId=90&cityFromId=1265&s_nightsMin=6&s_nightsMax=14&stars=403%2c404&minHotelRating=1&currencyAlias=RUB&pageSize=300&pageNumber=1&s_showcase=true&includeOilTaxesAndVisa=0&login=zakaz%40XXX.ru&password=XXX, Referer: , UserAgent: , IP: 94.154.XX.XX."

לפי ההערכות שלי, הוצגו כמה מאות זוגות כניסה/סיסמה.

מהחשבון האישי של סוכנות הנסיעות בפורטל agent.sletat.ru ניתן היה לקבל נתוני לקוחות, לרבות מספרי דרכונים, דרכונים בינלאומיים, תאריכי לידה, שמות מלאים, מספרי טלפון וכתובות מייל.

הודעתי לשירות Sletat.ru ב-15.05.2019/10/46 בשעה 16:00 (MSK) וכמה שעות לאחר מכן (עד XNUMX:XNUMX) הוא נעלם מהגישה החינמית שלהם. מאוחר יותר, בתגובה לפרסום בקומרסנט, פרסמה הנהלת השירות הצהרה מוזרה מאוד בתקשורת:

ראש החברה, אנדריי ורשינין, הסביר כי Sletat.ru מספקת למספר מפעילי תיירות שותפים גדולים גישה להיסטוריית השאילתות במנוע החיפוש. והוא הניח ש-DeviceLock קיבל את זה: "עם זאת, מסד הנתונים שצוין אינו מכיל נתוני דרכונים של תיירים, כניסות וסיסמאות של סוכנות נסיעות, פרטי תשלום וכו'." אנדריי ורשינין ציין ש-Sletat.ru עדיין לא קיבל שום ראיה להאשמות חמורות כאלה. "אנחנו מנסים כעת ליצור קשר עם DeviceLock. אנו מאמינים כי מדובר בצו. יש אנשים שלא אוהבים את הצמיחה המהירה שלנו", הוסיף. "

כפי שמוצג לעיל, כניסות, סיסמאות ונתוני דרכונים של תיירים היו ברשות הרבים זמן רב למדי (לפחות מאז 29.03.2019 במרץ XNUMX, אז שרת החברה תועד לראשונה ברשות הרבים על ידי מנוע החיפוש Shodan). כמובן שאף אחד לא פנה אלינו. אני מקווה שלפחות הם הודיעו לסוכנויות הנסיעות על ההדלפה ואילצו אותן לשנות את הסיסמאות שלהן.

חדשות על דליפות מידע ומקורבים תמיד ניתן למצוא בערוץ הטלגרם שלי "דליפות מידע".

מקור: www.habr.com