דליפות הנתונים המשמעותיות ביותר ב-2018. חלק ראשון (ינואר-יוני)

שנת 2018 מגיעה לסיומה, מה שאומר שהגיע הזמן לסכם את תוצאותיה ולפרט את הדלפות הנתונים המשמעותיות ביותר.

סקירה זו כוללת רק מקרים גדולים באמת של דליפות מידע ברחבי העולם. עם זאת, גם למרות רף החתך הגבוה, יש כל כך הרבה מקרים של הדלפות עד שנאלץ לחלק את הסקירה לשני חלקים - בחצי שנה.

בואו נסתכל על מה ואיך זה דלף השנה מינואר עד יוני. הרשו לי להסתייג מיד שחודש האירוע מצוין לא במועד התרחשותו, אלא במועד החשיפה (הודעה לציבור).

אז בוא נלך...

ינואר

• המפלגה השמרנית הפרוגרסיבית של קנדה
  מערכת ניהול המידע המכוננת (CIMS) של המפלגה השמרנית הפרוגרסיבית של קנדה (סניף אונטריו) נפרצה.
  מאגר הנתונים הגנוב הכיל את השמות, מספרי הטלפון ומידע אישי אחר של יותר ממיליון מצביעים באונטריו, כמו גם תומכי מפלגה, תורמים ומתנדבים.

• רוזוברנדזור
  דליפת מידע על תעודות ונתונים אישיים אחרים הנלווים אליהן מאתר האינטרנט של השירות הפדרלי לפיקוח על חינוך ומדע.
  בסך הכל יש כ-14 מיליון רשומות עם נתונים על תלמידים לשעבר. גודל מסד נתונים 5 GB.
  הדלפה: סדרה ומספר תעודה, שנת קבלה, שנת סיום, SNILS, INN, סדרה ומספר דרכון, תאריך לידה, לאום, ארגון חינוכי שהוציא את המסמך.

• רשות הבריאות האזורית הנורבגית
  התוקפים פרצו למערכת של רשות הבריאות האזורית של דרום ומזרח נורבגיה (Helse Sør-Øst RHF) וקיבלו גישה לנתונים האישיים ולרשומות הרפואיות של כ-2.9 מיליון נורבגים (יותר ממחצית מכלל תושבי המדינה).
  הנתונים הרפואיים הגנובים כללו מידע על ממשלה, שירות חשאי, צבא, פוליטי ואישי ציבור אחרים.

פבואר

• סוויסקום
  מפעילת הסלולר השוויצרית Swisscom הודתה כי הנתונים האישיים של כ-800 אלף מלקוחותיה נפגעו.
  שמות, כתובות, מספרי טלפון ותאריכי לידה של לקוחות הושפעו.

מרץ

• תחת שריון
  אפליקציית מעקב הכושר והתזונה הפופולרית MyFitnessPal של Under Armor סבלה מפרצת נתונים גדולה. לפי החברה, כ-150 מיליון משתמשים מושפעים.
  התוקפים התוודעו לשמות משתמש, כתובות דואר אלקטרוני וסיסמאות גיבובות.

• אורביץ
  Expedia Inc. (הבעלים של Orbitz) אמרה שהיא גילתה פרצת נתונים באחד מהאתרים הוותיקים שלה שהשפיעה על אלפי לקוחות.
  ההערכה היא שהדליפה פגעה בכ-880 אלף כרטיסי בנק.
  התוקף השיג גישה לנתונים על רכישות שבוצעו בין ינואר 2016 לדצמבר 2017. המידע שנגנב כולל תאריכי לידה, כתובות, שמות מלאים ופרטי כרטיס תשלום.

• MBM Company Inc
  אחסון ציבורי של Amazon S3 (AWS) המכיל עותק גיבוי של מסד נתונים של MS SQL עם מידע אישי של 1.3 מיליון אנשים החיים בארצות הברית וקנדה התגלה ברשות הציבור.
  המאגר היה שייך לחברת MBM Company Inc, חברת תכשיטים שבסיסה בשיקגו ופועלת תחת שם המותג Limoges Jewelry.
  המאגר הכיל שמות, כתובות, מיקודים, מספרי טלפון, כתובות מייל, כתובות IP וסיסמאות טקסט. בנוסף, היו רשימות תפוצה פנימיות של MBM Company Inc, נתוני כרטיסי אשראי מוצפנים, נתוני תשלום, שוברי פרסום והזמנות מוצרים.

אפריל

• Delta Air Lines, Best Buy ו-Sears Holding Corp.
  התקפה ממוקדת של תוכנות זדוניות מיוחדות באפליקציית הצ'אט המקוונת של החברה [24]7.ai (חברה מקליפורניה מסן חוזה המפתחת אפליקציות לשירות לקוחות מקוון).
  נתוני כרטיסי בנק מלאים דלפו - מספרי כרטיסים, קודי CVV, תאריכי תפוגה, שמות וכתובות של בעלים.
  רק הכמות המשוערת של נתונים שדלפו ידועה. עבור Sears Holding Corp. מדובר בקצת פחות מ-100 אלף כרטיסי בנק, עבור דלתא איירליינס מדובר במאות אלפי כרטיסים (חברת התעופה לא מדווחת בצורה מדויקת יותר). מספר הכרטיסים שנפרצו עבור Best Buy אינו ידוע. כל הכרטיסים הודלפו בין ה-26 בספטמבר ל-12 באוקטובר 2017.
  נדרשו ל-[24]7.ai יותר מ-5 חודשים לאחר שגילתה את המתקפה על השירות שלה כדי להודיע ​​ללקוחות (Delta, Best Buy ו-Sears) על התקרית.

• לחם פנרה
  קובץ עם נתונים אישיים של יותר מ-37 מיליון לקוחות פשוט שכב בצורה פתוחה באתר האינטרנט של רשת בתי קפה פופולריים למאפייה.
  הנתונים שהודלפו כללו שמות לקוחות, כתובות מייל, תאריכי לידה, כתובות דואר וארבע הספרות האחרונות של מספרי כרטיסי האשראי.

• סאקס, לורד וטיילור
  יותר מ-5 מיליון כרטיסי בנק נגנבו מרשתות השיווק Saks Fifth Avenue (כולל רשת Saks Fifth Avenue OFF 5TH) ומ-Lord & Taylor.
  האקרים השתמשו בתוכנה מיוחדת בקופות ובמסופי PoS כדי לגנוב נתוני כרטיסים.

• קארם
  הנתונים האישיים של כ-14 מיליון בני אדם במזרח התיכון, צפון אפריקה, פקיסטן וטורקיה נגנבו על ידי האקרים במתקפת סייבר על השרתים של Careem (המתחרה הגדולה ביותר של אובר במזרח התיכון).
  החברה גילתה פרצה במערכת המחשוב המאחסנת אישורים ללקוחות ונהגים ב-13 מדינות.
  נגנבו שמות, כתובות מייל, מספרי טלפון ונתוני נסיעות.

מאי

• דרום אפריקה
  מסד נתונים המכיל נתונים אישיים של כמיליון דרום אפריקאים התגלה בשרת אינטרנט ציבורי בבעלות חברה המעבדת תשלומים אלקטרוניים עבור קנסות תנועה.
  המאגר הכיל שמות, מספרי זיהוי, כתובות מייל וסיסמאות בצורת טקסט.

יוני

• בדיוק
  חברת השיווק Exactis מפלורידה, ארה"ב, שמרה מסד נתונים של Elasticsearch בגודל של כ-2 טרה-בייט המכיל יותר מ-340 מיליון רשומות זמינות לציבור.
  במאגר הנתונים נמצאו כ-230 מיליון נתונים אישיים של אנשים (מבוגרים) וכ-110 מיליון אנשי קשר של ארגונים שונים.
  ראוי לציין שבסך הכל חיים בארצות הברית כ-249.5 מיליון מבוגרים - כלומר, ניתן לומר שהמאגר מכיל מידע על כל מבוגר אמריקאי.

• Sacramento Bee
  האקרים לא ידועים גנבו שני מאגרי מידע השייכים לעיתון הקליפורני The Sacramento Bee.
  מסד הנתונים הראשון הכיל 19.4 מיליון רשומות עם נתונים אישיים של מצביעי קליפורניה.
  המאגר השני הכיל 53 אלף רשומות עם מידע על מנויי עיתונים.

• טיסת כרטיסים
  Ticketfly, שירות מכירת כרטיסים להופעות בבעלות Eventbrite, דיווח על מתקפת האקרים על מסד הנתונים שלו.
  בסיס הלקוחות של השירות נגנב על ידי ההאקר IsHaKdZ, שדרש 7502 דולר בביטקוין על אי הפצתו.
  המאגר הכיל את השמות, כתובות הדואר, מספרי הטלפון וכתובות המייל של לקוחות Ticketfly ואף של חלק מעובדי השירות, בסכום כולל של למעלה מ-27 מיליון רשומות.

• המורשת שלי
  92 מיליון חשבונות (כניסות, גיבוב סיסמאות) של השירות הגנאלוגי הישראלי MyHeritage דלפו. השירות מאחסן מידע DNA של משתמשים ובונה את עצי המשפחה שלהם.

• דיקסון קארפון
  רשת האלקטרוניקה Dixons Carphone, שיש לה חנויות קמעונאיות בבריטניה ובקפריסין, מסרה כי 1.2 מיליון נתונים אישיים של לקוחות, כולל שמות, כתובות וכתובות מייל, דלפו כתוצאה מגישה לא מורשית לתשתית ה-IT של החברה.
  בנוסף, דלפו המספרים של 105 אלף כרטיסי בנק ללא שבב מובנה.

להמשך ...

חדשות שוטפות על מקרים בודדים של דליפות נתונים מתפרסמות מייד בערוץ דליפות מידע.

מקור: www.habr.com