דליפה של נתוני לקוחות מחנויות re:Store, Samsung, Sony Centre, Nike, LEGO ו-Street Beat

בשבוע שעבר קומרסנט דיווח, ש"בסיסי הלקוחות של סטריט ביט וסוני סנטר היו נחלת הכלל", אבל במציאות הכל הרבה יותר גרוע ממה שכתוב בכתבה.

כבר עשיתי ניתוח טכני מפורט של הדליפה הזו. בערוץ הטלגרם, אז כאן נעבור רק על עיקרי הדברים.

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

שרת Elasticsearch אחר עם אינדקסים היה זמין באופן חופשי:

• graylog2_0
• readme
• unauth_text
• http:
• graylog2_1

В graylog2_0 הכיל יומנים מ-16.11.2018 בנובמבר 2019 עד מרץ XNUMX, ובתוך כך graylog2_1 – יומנים ממרץ 2019 עד 04.06.2019/XNUMX/XNUMX. עד לסגירת הגישה אל Elasticsearch, מספר הרשומות ב- graylog2_1 גדל.

לפי מנוע החיפוש Shodan, Elasticsearch זה זמין באופן חופשי מאז 12.11.2018 בנובמבר 16.11.2018 (כפי שנכתב למעלה, הערכים הראשונים ביומנים הם מתאריך XNUMX בנובמבר XNUMX).

ביומנים, בשטח gl2_remote_ip צוינו כתובות IP 185.156.178.58 ו-185.156.178.62, עם שמות DNS srv2.inventive.ru и srv3.inventive.ru:

הודעתי קבוצת קמעונאות המצאה (www.inventive.ru) על הבעיה ב-04.06.2019/18/25 בשעה 22:30 (שעון מוסקבה) ועד XNUMX:XNUMX השרת נעלם "בשקט" מגישה ציבורית.

היומנים שהכילו (כל הנתונים הם הערכות, כפילויות לא הוסרו מהחישובים, כך שכמות המידע האמיתי שדלף כנראה פחותה):

• יותר מ-3 מיליון כתובות מייל של לקוחות מחנויות re:Store, Samsung, Street Beat ולגו
• יותר מ-7 מיליון מספרי טלפון של לקוחות מחנויות re:Store, Sony, Nike, Street Beat ולגו
• יותר מ-21 אלף זוגות כניסה/סיסמה מחשבונות אישיים של קונים של חנויות Sony ו-Street Beat.
• רוב הרשומות עם מספרי טלפון ואימייל הכילו גם שמות מלאים (לעיתים קרובות בלטינית) ומספרי כרטיסי נאמנות.

דוגמה מהיומן הקשור ללקוח החנות של Nike (כל הנתונים הרגישים הוחלפו בתווי "X"):

"message": "{"MESSAGE":"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Arrayn(n    [contact[phone]] => +7985026XXXXn    [contact[email]] => [email protected]    [contact[channel]] => n    [contact[subscription]] => 0n)n[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 27008290n    [brand] => NIKEn)n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7985026XXXXn            [email] => [email protected]            [channel] => 0n            [subscription] => 0n        )nn)n","DATE":"31.03.2019 12:52:51"}",

והנה דוגמה לאופן שבו אוחסנו כניסות וסיסמאות מחשבונות אישיים של קונים באתרי אינטרנט sc-store.ru и street-beat.ru:

"message":"{"MESSAGE":"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 26725117n    [brand]=> SONYn)n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] ","DATE":"22.04.2019 21:29:09"}"

ניתן לקרוא את ההצהרה הרשמית של IRG על אירוע זה כאן, קטע מתוכו:

לא יכולנו להתעלם מנקודה זו ושינינו את הסיסמאות לחשבונות האישיים של הלקוחות לחשבונות זמניים, על מנת להימנע משימוש אפשרי בנתונים מחשבונות אישיים למטרות הונאה. החברה אינה מאשרת דליפות של נתונים אישיים של לקוחות street-beat.ru. כל הפרויקטים של Inventive Retail Group נבדקו בנוסף. לא זוהו איומים על הנתונים האישיים של הלקוחות.

זה רע ש-IRG לא מצליחה להבין מה דלף ומה לא. הנה דוגמה מהיומן הקשור ללקוח של חנות Street Beat:

"message": "{"MESSAGE":"'DATA' => ['URI' => /local/components/multisite/order/ajax.php,'МЕТОД ЗАПРОСА' = contact,'ДАННЫЕ POST' = Arrayn(n    [contact[phone]] => 7915545XXXXn)n,'ДАННЫЕ  GET' =nttArrayn(n    [digital_id] => 27016686n    [brand] => STREETBEATn)n,'ОТВЕТ СЕРВЕРА' = 'Код ответа - '200,'RESPONCE' = stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7915545XXXXn            [email] => [email protected]","Дата":"01.04.2019 08:33:48"}",

עם זאת, בואו נעבור לחדשות הרעות באמת ונסביר מדוע מדובר בהדלפה של נתונים אישיים של לקוחות IRG.

אם תסתכל מקרוב על האינדקסים של Elasticsearch הזמין באופן חופשי זה, תבחין בהם בשני שמות: readme и unauth_text. זהו סימן אופייני לאחד מהסקריפטים הרבים של תוכנות הכופר. זה השפיע על יותר מ-4 שרתי Elasticsearch ברחבי העולם. תוֹכֶן readme נראה כך:

"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"

בעוד שהשרת עם יומני IRG היה נגיש באופן חופשי, סקריפט של תוכנת כופר בהחלט קיבל גישה למידע של הלקוחות, ולפי ההודעה שהוא השאיר, הנתונים הורדו.

בנוסף, אין לי ספק שמסד הנתונים הזה נמצא לפני וכבר הורד. אפילו הייתי אומר שאני בטוח בזה. אין סוד שמאגרי מידע פתוחים כאלה מבוצעים בחיפוש מכוון ומשאבים החוצה.

חדשות על דליפות מידע ומקורבים תמיד ניתן למצוא בערוץ הטלגרם שלי "דליפות מידע»: https://t.me/dataleak.

מקור: www.habr.com