ორი ერთში: ტურისტული მონაცემები და კულტურული ღონისძიებების ბილეთები საჯაროდ იყო ხელმისაწვდომი

დღეს ჩვენ განვიხილავთ ერთდროულად ორ შემთხვევას - ორი სრულიად განსხვავებული კომპანიის კლიენტებისა და პარტნიორების მონაცემები თავისუფლად იყო ხელმისაწვდომი ამ კომპანიების საინფორმაციო სისტემების ჟურნალებით (IS) ღია Elasticsearch სერვერების წყალობით.

პირველ შემთხვევაში, ეს არის ათიათასობით (და შესაძლოა ასობით ათასი) ბილეთი სხვადასხვა კულტურული ღონისძიებებისთვის (თეატრები, კლუბები, მდინარეზე გასეირნება და ა.შ.) გაიყიდა რადარიოს სისტემის მეშვეობით (www.radario.ru).

მეორე შემთხვევაში, ეს არის მონაცემები ათასობით (შესაძლოა რამდენიმე ათეული ათასი) მოგზაურის ტურისტული მოგზაურობის შესახებ, რომლებმაც შეიძინეს ტურები Sletat.ru სისტემასთან დაკავშირებული ტურისტული სააგენტოების საშუალებით (www.sletat.ru).

დაუყოვნებლივ მინდა აღვნიშნო, რომ განსხვავდება არა მხოლოდ იმ კომპანიების სახელები, რომლებმაც მიიღეს მონაცემები საჯაროდ ხელმისაწვდომი, არამედ ამ კომპანიების მიდგომა ინციდენტის ამოცნობისა და მასზე შემდგომი რეაქციის მიმართ. მაგრამ პირველ რიგში...

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

შემთხვევა პირველი. "რადარიო"

06.05.2019/XNUMX/XNUMX საღამოს ჩვენი სისტემა აღმოაჩინა, რომ Elasticsearch სერვერი თავისუფლად არის ხელმისაწვდომიელექტრონული ბილეთების გაყიდვის სერვის Radario-ს ეკუთვნის.

უკვე დამკვიდრებული სამწუხარო ტრადიციის თანახმად, სერვერი შეიცავდა სერვისის საინფორმაციო სისტემის დეტალურ ჟურნალებს, საიდანაც შესაძლებელი იყო პერსონალური მონაცემების, მომხმარებლის შესვლისა და პაროლების მოპოვება, ასევე ელექტრონული ბილეთები სხვადასხვა ღონისძიებებისთვის მთელი ქვეყნის მასშტაბით.

ჟურნალების საერთო მოცულობამ გადააჭარბა 1 ტბას.

Shodan-ის საძიებო სისტემის მიხედვით, სერვერი საჯაროდ ხელმისაწვდომია 11.03.2019 წლის 06.05.2019 მარტიდან. მე ვაცნობე რადარიოს თანამშრომლებს 22/50/07.05.2019 09:30 (MSK) და XNUMX/XNUMX/XNUMX დაახლოებით XNUMX:XNUMX სერვერი მიუწვდომელი გახდა.

ჟურნალები შეიცავდა უნივერსალურ (ერთ) ავტორიზაციის ჟეტონს, რომელიც უზრუნველყოფს წვდომას ყველა შეძენილ ბილეთზე სპეციალური ბმულების საშუალებით, როგორიცაა:

http://radario.ru/internal/tickets/XXXXXXXX/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

http://radario.ru/internal/orders/YYYYYYY/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

პრობლემა ისიც იყო, რომ ბილეთების აღრიცხვისთვის გამოყენებული იყო შეკვეთების უწყვეტი ნუმერაცია და ბილეთის ნომრის მარტივი ჩამოთვლა (XXXXXXXX) ან შეუკვეთე (YYYYYYY), შესაძლებელი იყო სისტემიდან ყველა ბილეთის აღება.

მონაცემთა ბაზის შესაბამისობის შესამოწმებლად, მე გულწრფელად ვიყიდე ყველაზე იაფი ბილეთი:

და მოგვიანებით იპოვა ის საჯარო სერვერზე IS ჟურნალებში:

http://radario.ru/internal/tickets/11819272/print?access_token==******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk

ცალკე ხაზგასმით მინდა აღვნიშნო, რომ ბილეთები ხელმისაწვდომი იყო როგორც უკვე ჩატარებული, ასევე დაგეგმილი ღონისძიებებისთვის. ანუ, პოტენციურ თავდამსხმელს შეუძლია გამოიყენოს სხვისი ბილეთი დაგეგმილ ღონისძიებაში შესასვლელად.

საშუალოდ, თითოეული Elasticsearch ინდექსი, რომელიც შეიცავს ჟურნალებს ერთი კონკრეტული დღისთვის (დაწყებული 24.01.2019/07.05.2019/25-დან 35/XNUMX/XNUMX წლამდე) შეიცავდა XNUMX-დან XNUMX ათასამდე ბილეთს.

თავად ბილეთების გარდა, ინდექსი შეიცავდა შესვლას (ელ. ფოსტის მისამართებს) და ტექსტურ პაროლებს რადარიოს პარტნიორების პირად ანგარიშებზე წვდომისთვის, რომლებიც ყიდიან თავიანთ ღონისძიებებზე ბილეთებს ამ სერვისის საშუალებით:

Content: "ReturnUrl=&UserEmail=***@yandex.ru&UserPassword=***"

საერთო ჯამში, გამოვლინდა 500-ზე მეტი შესვლა/პაროლის წყვილი. ბილეთების გაყიდვების სტატისტიკა ჩანს პარტნიორების პირად ანგარიშებზე:

ასევე საჯაროდ იყო ხელმისაწვდომი მყიდველების სახელები, ტელეფონის ნომრები და ელექტრონული ფოსტის მისამართები, რომლებმაც გადაწყვიტეს დაებრუნებინათ ადრე შეძენილი ბილეთები:

"Content": "{"name":"***","surname":"*** ","middleName":"Евгеньевна ","passportType":1,"passportNumber":"","passportIssueDate":"11-11-2011 11:11:11","passportIssuedBy":"","email":"***@mail.ru","phone":"+799*******","ticketNumbers":["****24848","****948732"],"refundReason":4,"comment":""}"

ერთ შემთხვევით შერჩეულ დღეში 500-ზე მეტი ასეთი ჩანაწერი აღმოაჩინეს.

მე მივიღე პასუხი გაფრთხილებაზე რადარიოს ტექნიკური დირექტორისგან:

მე ვარ რადარიოს ტექნიკური დირექტორი და მინდა მადლობა გადაგიხადოთ პრობლემის იდენტიფიცირებისთვის. მოგეხსენებათ, ჩვენ დახურული გვაქვს ელასტიკზე წვდომა და ვაგვარებთ კლიენტებისთვის ბილეთების ხელახალი გაცემის საკითხს.

ცოტა მოგვიანებით კომპანიამ ოფიციალური განცხადება გააკეთა:

Radario-ს ელექტრონული ბილეთების გაყიდვის სისტემაში აღმოჩენილი იქნა დაუცველობა და დროულად გამოსწორდა, რამაც შეიძლება გამოიწვიოს სერვისის კლიენტების მონაცემების გაჟონვა, განუცხადა კომპანიის მარკეტინგის დირექტორმა კირილ მალიშევმა მოსკოვის საინფორმაციო სააგენტოს.

”ჩვენ რეალურად აღმოვაჩინეთ დაუცველობა სისტემის ოპერაციაში, რომელიც დაკავშირებულია რეგულარულ განახლებებთან, რომელიც გამოსწორდა აღმოჩენისთანავე. დაუცველობის შედეგად, გარკვეულ პირობებში, მესამე მხარის არამეგობრულმა ქმედებებმა შეიძლება გამოიწვიოს მონაცემთა გაჟონვა, მაგრამ არანაირი ინციდენტი არ დაფიქსირებულა. ამ დროისთვის ყველა ხარვეზი აღმოფხვრილია“, - განაცხადა კ. მალიშევმა.

კომპანიის წარმომადგენელმა ხაზგასმით აღნიშნა, რომ გადაწყდა პრობლემის გადაჭრის დროს გაყიდული ყველა ბილეთის ხელახალი გამოცემა, რათა სრულად აღმოიფხვრას სერვის კლიენტების მიმართ რაიმე თაღლითობის შესაძლებლობა.

რამდენიმე დღის შემდეგ, მე შევამოწმე მონაცემების ხელმისაწვდომობა გაჟონილი ბმულების გამოყენებით - „გამოვლენილ“ ბილეთებზე წვდომა ნამდვილად იყო დაფარული. ჩემი აზრით, ეს არის კომპეტენტური, პროფესიონალური მიდგომა მონაცემთა გაჟონვის პრობლემის გადასაჭრელად.

საქმე მეორე. "Fly.ru"

15.05.2019 დილით ადრე DeviceLock მონაცემთა დარღვევის დაზვერვა დაადგინა საჯარო Elasticsearch სერვერი გარკვეული IS-ის ჟურნალებით.

მოგვიანებით დადგინდა, რომ სერვერი ეკუთვნის ტურის შერჩევის სერვისს "Sletat.ru".

ინდექსიდან cbto__0 შესაძლებელი გახდა ათასობით (11,7 ათასი დუბლიკატების ჩათვლით) ელექტრონული ფოსტის მისამართის, ასევე გადახდის ზოგიერთი ინფორმაციის (ტურის ხარჯები) და ტურის მონაცემების მიღება (როდის, სად, ავიაბილეთის დეტალები). ყველა ტურში შემავალი მოგზაურები და ა.შ.) დაახლოებით 1,8 ათასი ჩანაწერის ოდენობით:

"full_message": "Получен запрос за создание платежного средства: {"SuccessReturnUrl":"https://sletat.ru/tour/7-1939548394-65996246/buy/?ClaimId=b5e3bf98-2855-400d-a93a-17c54a970155","ErrorReturnUrl":"https://sletat.ru/","PaymentAgentId":15,"DocumentNumber":96629429,"DocumentDisplayNumber":"4451-17993","Amount":36307.0,"PaymentToolType":3,"ExpiryDateUtc":"2020-04-03T00:33:55.217358+03:00","LifecycleType":2,"CustomerEmail":"[email protected]","Description":"","SettingsId":"8759d0dd-da54-45dd-9661-4e852b0a1d89","AdditionalInfo":"{"TourOfficeAdditionalInfo":{"IsAdditionalPayment":false},"BarrelAdditionalInfo":{"Tickets":[{"Passenger":{"FIO":"XXX VIKTORIIA"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX ANDREI"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX Andrei"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false}],"Segments":[{"Flight":"5659","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"LED","DepartureAirport":"LED","DepartureAirportIataCode":"LED","DepartureDate":"2019-04-11T02:45:00","DepartureTime":null,"ArrivalCity":"SHJ","ArrivalAirport":"SHJ","ArrivalAirportIataCode":"SHJ","ArrivalDate":"2019-04-11T09:40:00","ArrivalTime":null,"FareCode":null},{"Flight":"5660","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"SHJ","DepartureAirport":"SHJ","DepartureAirportIataCode":"SHJ","DepartureDate":"2019-04-14T10:45:00","DepartureTime":null,"ArrivalCity":"LED","ArrivalAirport":"LED","ArrivalAirportIataCode":"LED","ArrivalDate":"2019-04-14T15:50:00","ArrivalTime":null,"FareCode":null}]},"Tickets":[{"Passenger":{"FIO":"XXX VIKTORIIA"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX ANDREI"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false},{"Passenger":{"FIO":"XXX Andrei"},"ReservationSystem":null,"TicketNumber":null,"IsRefundPossible":false}],"Segments":[{"Flight":"5659","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"LED","DepartureAirport":"LED","DepartureAirportIataCode":"LED","DepartureDate":"2019-04-11T02:45:00","DepartureTime":null,"ArrivalCity":"SHJ","ArrivalAirport":"SHJ","ArrivalAirportIataCode":"SHJ","ArrivalDate":"2019-04-11T09:40:00","ArrivalTime":null,"FareCode":null},{"Flight":"5660","AviaCompany":null,"AviaCompanyIataCode":null,"DepartureCity":"SHJ","DepartureAirport":"SHJ","DepartureAirportIataCode":"SHJ","DepartureDate":"2019-04-14T10:45:00","DepartureTime":null,"ArrivalCity":"LED","ArrivalAirport":"LED","ArrivalAirportIataCode":"LED","ArrivalDate":"2019-04-14T15:50:00","ArrivalTime":null,"FareCode":null}]}","FinancialSystemId":9,"Key":"18fe21d1-8c9c-43f3-b11d-6bf884ba6ee0"}"

სხვათა შორის, ფასიანი ტურების ბმულები საკმაოდ მუშაობს:

ინდექსებში სახელით გრეილოგი_ მკაფიო ტექსტში იყო ტურისტული სააგენტოების შესვლა და პაროლები, რომლებიც დაკავშირებულია Sletat.ru სისტემასთან და ყიდიან ტურებს მათ კლიენტებზე:

"full_message": "Tours by request 155213901 added to local cache with key 'user_cache_155213901' at 5/6/2019 4:49:07 PM, rows found 0, sortedPriceLength 215. QueryString: countryId=90&cityFromId=1265&s_nightsMin=6&s_nightsMax=14&stars=403%2c404&minHotelRating=1&currencyAlias=RUB&pageSize=300&pageNumber=1&s_showcase=true&includeOilTaxesAndVisa=0&login=zakaz%40XXX.ru&password=XXX, Referer: , UserAgent: , IP: 94.154.XX.XX."

ჩემი შეფასებით, რამდენიმე ასეული შესვლის/პაროლის წყვილი იყო ნაჩვენები.

ტურისტული სააგენტოს პირადი ანგარიშიდან პორტალზე agent.sletat.ru შესაძლებელი იყო მომხმარებლის მონაცემების მოპოვება, მათ შორის პასპორტის ნომრები, საერთაშორისო პასპორტები, დაბადების თარიღები, სრული სახელები, ტელეფონის ნომრები და ელექტრონული ფოსტის მისამართები.

მე შევატყობინე Sletat.ru სერვისს 15.05.2019/10/46 16:00 (MSK) და რამდენიმე საათის შემდეგ (XNUMX:XNUMX საათამდე) ის გაქრა მათი უფასო წვდომიდან. მოგვიანებით, კომერსანტის გამოქვეყნების საპასუხოდ, სამსახურის ხელმძღვანელობამ მედიის საშუალებით ძალიან უცნაური განცხადება გააკეთა:

კომპანიის ხელმძღვანელმა, ანდრეი ვერშინინმა განმარტა, რომ Sletat.ru უამრავ მთავარ პარტნიორ ტუროპერატორს აძლევს წვდომას საძიებო სისტემაში შეკითხვის ისტორიაზე. და მან ივარაუდა, რომ DeviceLock-მა მიიღო იგი: ”თუმცა, მითითებული მონაცემთა ბაზა არ შეიცავს ტურისტების პასპორტის მონაცემებს, ტურისტული სააგენტოს შესვლას და პაროლებს, გადახდის ინფორმაციას და ა. ანდრეი ვერშინინმა აღნიშნა, რომ Sletat.ru-ს ჯერ არ მიუღია რაიმე მტკიცებულება ასეთი სერიოზული ბრალდებების შესახებ. „ჩვენ ახლა ვცდილობთ დავუკავშირდეთ DeviceLock-ს. ჩვენ გვჯერა, რომ ეს არის ბრძანება. ზოგს არ მოსწონს ჩვენი სწრაფი ზრდა“, - დასძინა მან. "

როგორც ზემოთ იყო ნაჩვენები, ტურისტების შესვლა, პაროლები და პასპორტის მონაცემები საკმაოდ დიდი ხნის განმავლობაში იყო საჯარო დომენში (ყოველ შემთხვევაში, 29.03.2019 წლის XNUMX მარტიდან, როდესაც კომპანიის სერვერი პირველად დაფიქსირდა საზოგადოებრივ დომენში Shodan-ის საძიებო სისტემის მიერ). რა თქმა უნდა, არავინ დაგვიკავშირდა. იმედი მაქვს, რომ მათ მაინც შეატყობინეს ტურისტულ სააგენტოებს გაჟონვის შესახებ და აიძულეს შეცვალონ პაროლი.

სიახლეები ინფორმაციის გაჟონვისა და ინსაიდერების შესახებ ყოველთვის შეგიძლიათ ნახოთ ჩემს Telegram არხზე.ინფორმაციის გაჟონვა".

წყარო: www.habr.com