הדלפות מרעישות של נתוני משתמשים לחודשים ינואר - אפריל 2019

בשנת 2018 נרשמו ברחבי העולם 2263 מקרים פומביים של דליפת מידע סודי. נתונים אישיים ופרטי תשלום נפגעו ב-86% מהאירועים - כלומר כ-7,3 מיליארד רשומות נתוני משתמשים. בורסת הקריפטו היפנית Coincheck הפסידה 534 מיליון דולר כתוצאה מהתפשרות על הארנקים המקוונים של לקוחותיה. מדובר בכמות הנזק הגדולה ביותר שדווחה.

עדיין לא ידוע מה יהיו הנתונים הסטטיסטיים לשנת 2019. אבל יש כבר די הרבה "הדלפות" מרעישות, וזה עצוב. החלטנו לסקור את ההדלפות הנדונות ביותר מתחילת השנה. "יהיו עוד", כמו שאומרים.

18 בינואר: בסיסי איסוף

ב-18 בינואר החלו להופיע דיווחים בתקשורת על מאגר מידע שנמצא ברשות הרבים ב- 773M תיבות דואר עם סיסמאות (כולל משתמשים מרוסיה). המאגר היה אוסף של מאגרי מידע דלופים של כאלפיים אתרים שונים שנצברו במשך מספר שנים. עבורו הוא קיבל את השם Collection #1. מבחינת גודל, זה התברר כמסד הנתונים השני בגודלו של כתובות פרוצים בהיסטוריה (הראשון היה הארכיון של מיליארד משתמשי Yahoo!, שהופיע ב-1).

עד מהרה התברר שאוסף מס' 1 היה רק ​​חלק ממערך הנתונים שבסופו של דבר הגיע לידי האקרים. מומחי אבטחת מידע מצאו גם "אוספים" אחרים שמספרם 2 עד 5, והנפח הכולל שלהם היה 845 GB. כמעט כל המידע במאגרי המידע מעודכן, אם כי חלק מהכניסות והסיסמאות מיושנות.

מומחה אבטחת הסייבר בריאן קרבס יצר קשר עם ההאקר שמכר את הארכיונים וגילה שאוסף מס' 1 כבר היה בן שנתיים או שלוש בערך. לדברי ההאקר, יש לו גם מסדי נתונים עדכניים יותר למכירה בנפח של יותר מארבעה טרה-בייט.

11 בפברואר: דליפה של נתוני משתמשים מ-16 אתרים גדולים

מהדורת ה-11 בפברואר של The Register דיווחשפלטפורמת המסחר Dream Market מוכרת את הנתונים של 620 מיליון משתמשים בשירותי אינטרנט גדולים:

• דובסמאש (162 מיליון)
• MyFitnessPal (151 מיליון)
• MyHeritage (92 מיליון)
• ShareThis (41 מיליון)
• HauteLook (28 מיליון)
• אנימוטו (25 מיליון)
• EyeEm (22 מיליון)
• 8fit (20 מיליון)
• דפים לבנים (18 מיליון)
• פוטולוג (16 מיליון)
• 500 פיקסלים (15 מיליון)
• משחקי שריון (11 מיליון)
• BookMate (8 מיליון)
• CoffeeMeetsBagel (6 מיליון)
• ארטסי (מיליון)
• DataCamp (700)

התוקפים ביקשו כ-20 אלף דולר עבור כל מסד הנתונים; הם יכלו גם לקנות את ארכיון הנתונים של כל אתר בנפרד.

כל האתרים נפרצו בזמנים שונים. לדוגמה, פורטל התמונות 500px דיווח כי הדליפה התרחשה ב-5 ביולי 2018, אך היא נודעה רק לאחר הופעת ארכיון עם הנתונים.

מאגרי מידע מכיל כתובות דואר אלקטרוני, שמות משתמש וסיסמאות. עם זאת, יש עובדה אחת משמחת: סיסמאות לרוב מוצפנות בצורה כזו או אחרת. כלומר, כדי להשתמש בהם, תחילה עליך להתעסק במוח שלך לגבי פענוח הנתונים. אם כי, אם הסיסמה פשוטה, אז זה בהחלט אפשרי לנחש את זה.

25 בפברואר: מסד הנתונים MongoDB נחשף

25 בפברואר, מומחה אבטחת מידע בוב דיאצ'נקו נמצא מקוון, מסד נתונים לא מאובטח של 150GB MongoDB המכיל למעלה מ-800 מיליון רשומות נתונים אישיים. הארכיון הכיל כתובות מייל, שמות משפחה, מידע על מין ותאריך לידה, מספרי טלפון, מיקודים וכתובות וכתובות IP.

בסיס הנתונים הבעייתי היה שייך ל-Verifications IO LLC, שעסקה בשיווק בדואר אלקטרוני. אחד השירותים שלה היה בדיקת מיילים ארגוניים. ברגע שהופיע מידע על המאגר הבעייתי בתקשורת, אתר החברה והמאגר עצמו הפכו ללא נגישים. מאוחר יותר, נציגי Verifications IO LLC ציינו כי מסד הנתונים אינו מכיל נתונים מלקוחות החברה והוא התחדש ממקורות פתוחים.

10 במרץ: נתוני משתמשי פייסבוק דלפו דרך אפליקציות FQuiz ו-Supertest

מהדורת 10 במרץ של The Verge פרסם הודעה שפייסבוק הגישה תביעה נגד שני מפתחים אוקראינים, גלב סלוצ'בסקי ואנדריי גורבצ'וב. הם הואשמו בגניבת נתונים אישיים של משתמשים.

מפתחים יצרו יישומים לביצוע בדיקות. תוכניות אלו התקינו הרחבות דפדפן שאספו נתוני משתמשים. במהלך 2017-2018, ארבע אפליקציות, כולל FQuiz ו-Supertest, הצליחו לגנוב את הנתונים של כ-63 אלף משתמשים. בעיקר משתמשים מרוסיה ואוקראינה הושפעו.

21 במרץ: מאות מיליוני סיסמאות לפייסבוק לא מוצפנות

ב-21 במרץ דיווח העיתונאי בריאן קרבס בבלוג שלךשפייסבוק אוחסנה מיליוני סיסמאות לא מוצפנות במשך זמן רב. כ-20 עובדי החברה יכלו לראות את הסיסמאות של בין 200 ל-600 מיליון משתמשי פייסבוק מכיוון שהן נשמרו בפורמט טקסט רגיל. כמה סיסמאות אינסטגרם נכללו גם במסד נתונים לא מוגן זה. בקרוב הרשת החברתית עצמה תהיה רשמית מְאוּשָׁר מידע.

פדרו קנאוואטי, סגן נשיא פייסבוק להנדסה, אבטחה ופרטיות, אמר כי הבעיה עם אחסון סיסמאות לא מוצפנות תוקנה. ובכלל, מערכות הכניסה לפייסבוק נועדו להפוך סיסמאות לבלתי קריאות. החברה לא מצאה ראיות לכך שגישה לא נכונה לסיסמאות הלא מוצפנות.

21 במרץ: דליפת נתונים של לקוחות טויוטה

בסוף מרץ יצרנית הרכב היפנית טויוטה אמר שהאקרים הצליחו לגנוב נתונים אישיים של עד 3,1 מיליון לקוחות החברה. המערכות של חטיבות המסחר של טויוטה וחמש חברות בנות נפרצו ב-21 במרץ.

החברה לא חשפה אילו נתונים אישיים של לקוחות נגנבו. עם זאת, היא ציינה כי התוקפים לא קיבלו גישה למידע על כרטיסי בנק.

21 במרץ: פרסום נתונים ממטופלים באזור ליפטסק באתר EIS

ב-21 במרץ, פעילי תנועת הציבור "בקרת חולים" сообщили כי במידע שפרסם מחלקת הבריאות של אזור ליפטסק באתר EIS, נמסרו נתונים אישיים של חולים.

באתר הרכש הממשלתי פורסמו מספר מכרזים למתן שירותי רפואה דחופה: נאלצו להעביר חולים למוסדות אחרים מחוץ לאזור. התיאורים הכילו מידע על שם המשפחה של המטופל, כתובת ביתו, אבחנה, קוד ICD, פרופיל וכדומה. לא ייאמן, נתוני חולים פורסמו בשטח פתוח לא פחות משמונה פעמים בשנה האחרונה בלבד (!).

ראש מחלקת הבריאות של אזור ליפצק, יורי שושוקוב, אמר כי נפתחה חקירה פנימית וכי תתנצל בפני חולים שנתוניהם פורסמו. גם משרד התובע של מחוז ליפצק החל בבדיקת האירוע.

04 באפריל: דליפת נתונים של 540 מיליון משתמשי פייסבוק

חברת אבטחת המידע UpGuard דווח על הנתונים של יותר מ-540 מיליון משתמשי פייסבוק שהופכים לזמינים לציבור.

פוסטים של חברי רשת חברתית עם הערות, לייקים ושמות חשבונות נמצאו בפלטפורמה הדיגיטלית המקסיקנית Cultura Colectiva. ובאפליקציית At the Pool שהושבתה כעת, שמות, סיסמאות, כתובות אימייל ונתונים אחרים היו זמינים.

10 באפריל: נתונים מחולי אמבולנס מאזור מוסקבה דלפו באינטרנט

בתחנות סיוע רפואי חירום (EMS) באזור מוסקבה, ככל הנראה הייתה דליפת נתונים. רשויות אכיפת החוק פתחו בבדיקה מוקדמת של דיווחים על האירוע.

באחד משירותי אירוח הקבצים התגלה קובץ בנפח 17,8 ג'יגה-בייט המכיל מידע על קריאות אמבולנס באזור מוסקבה. המסמך הכיל את שמו של האדם שהתקשר לאמבולנס, מספר טלפון ליצירת קשר, כתובת שבה התקשר הצוות, תאריך ושעת הקריאה, אפילו מצבו של החולה. הנתונים של תושבי מיטישצ'י, דמיטרוב, דולגופרודני, קורולב ובלאשיחה נפגעו. ההנחה היא שהבסיס הונח על ידי פעילים של קבוצת האקרים אוקראינית.

12 באפריל: רשימה שחורה של הבנק המרכזי
נתוני לקוחות הבנקים מהרשימה השחורה של הבנק המרכזי של סרבנים לפי חוק איסור הלבנת הון נמצאו באינטרנט 12 באפריל. דיברנו על מידע מכ-120 אלף לקוחות שנמנעו מהם שירות בהתאם לחוק המאבק בהלבנת הון ומימון טרור (115-FZ).

רוב המאגר מורכב מיחידים ויזמים בודדים, השאר הם ישויות משפטיות. ליחידים, המאגר מכיל מידע על שמם המלא, תאריך לידה, סדרה ומספר דרכון. על יזמים בודדים - שם מלא ו-INN, על חברות - שם, INN, OGRN. אחד הבנקים הודה באופן לא רשמי בפני עיתונאים שהרשימה כללה לקוחות דחויים אמיתיים. המאגר מכסה "סרבנים" מ-26 ביוני 2017 עד 6 בדצמבר 2017.

15 באפריל: פורסמו נתונים אישיים של אלפי עובדי המשטרה וה-FBI האמריקאית

קבוצת פושעי סייבר הצליחה לפרוץ כמה אתרים הקשורים למשרד החקירות הפדרלי של ארה"ב. והיא פרסמה עשרות קבצים באינטרנט עם מידע אישי של אלפי שוטרים וסוכנים פדרליים.
 
תוך שימוש בניצולים זמינים לציבור, התוקפים הצליחו לקבל גישה למשאבי הרשת של עמותה הקשורה לאקדמיית ה-FBI בקוונטיקו (וירג'יניה). בנוגע לזה написал TechCrunch.
הארכיון הגנוב הכיל את שמותיהם של גורמי אכיפת החוק והפדרלים בארה"ב, כתובותיהם, מספרי טלפון, מידע על האימייל והתפקידים שלהם. יש בערך 4000 ערכים שונים בסך הכל.

25 באפריל: דליפת נתונים של Docker Hub

פושעי סייבר קיבלו גישה למסד הנתונים של ספריית התמונות הקונטיינר הגדולה בעולם, Docker Hub, וכתוצאה מכך הנתונים של כ-190 אלף משתמשים נפגעו. מסד הנתונים הכיל שמות משתמש, גיבוב סיסמאות ואסימונים עבור מאגרי GitHub ו-Bitbucket המשמשים לבניית Docker אוטומטית.

מנהלת Docker Hub סיפר משתמשים על התקרית מאוחרת ביום שישי, 26 באפריל. לפי מידע רשמי, ב-25 באפריל נודע על גישה בלתי מורשית למאגר המידע. חקירת האירוע טרם הסתיימה.

אתה יכול גם לזכור את הסיפור עם Doc+, שהיה לא כל כך מזמן מואר על Habré, לא נעים המצב עם תשלומי אזרחים למשטרת התנועה ול-FSSP ועוד הדלפות שהוא מתאר ashotog.

כמסקנה

חוסר האבטחה של הנתונים המאוחסנים על ידי רשויות ממשלתיות, ברשתות חברתיות ובאתרים גדולים, כמו גם היקף הגניבות, מפחיד. זה גם עצוב שהדלפות הפכו לדבר שבשגרה. אנשים רבים שהנתונים האישיים שלהם נפגעו אפילו לא יודעים על כך. ואם הם כן יודעים, הם לא יעשו דבר כדי להגן על עצמם.

מקור: www.habr.com