जानेवारी - एप्रिल 2019 साठी वापरकर्त्यांच्या डेटाची खळबळजनक लीक

2018 मध्ये, जगभरात गोपनीय माहिती लीक झाल्याची 2263 सार्वजनिक प्रकरणे नोंदवण्यात आली. 86% घटनांमध्ये वैयक्तिक डेटा आणि पेमेंट माहितीशी तडजोड केली गेली - म्हणजे सुमारे 7,3 अब्ज वापरकर्ता डेटा रेकॉर्ड. जपानी क्रिप्टो एक्सचेंज Coincheck ने त्याच्या क्लायंटच्या ऑनलाइन वॉलेटच्या तडजोडीमुळे $534 दशलक्ष गमावले. नोंदवलेल्या नुकसानीची ही सर्वात मोठी रक्कम होती.

2019 ची आकडेवारी काय असेल हे अद्याप माहित नाही. परंतु आधीच बर्‍याच खळबळजनक “गळती” आहेत आणि हे दुःखद आहे. आम्ही वर्षाच्या सुरुवातीपासून सर्वाधिक चर्चिल्या गेलेल्या लीक्सचे पुनरावलोकन करण्याचा निर्णय घेतला. ते म्हणतात त्याप्रमाणे "अधिक असतील."

18 जानेवारी: संकलन तळ

18 जानेवारी रोजी, सार्वजनिक डोमेनमध्ये सापडलेल्या डेटाबेसबद्दल मीडिया अहवाल दिसू लागले 773M पासवर्डसह मेलबॉक्सेस (रशियामधील वापरकर्त्यांसह). डेटाबेस हा अनेक वर्षांपासून जमा झालेल्या सुमारे दोन हजार वेगवेगळ्या साइट्सच्या लीक झालेल्या डेटाबेसचा संग्रह होता. ज्यासाठी त्याला कलेक्शन #1 हे नाव मिळाले. आकाराच्या बाबतीत, तो इतिहासातील हॅक केलेल्या पत्त्यांचा दुसरा सर्वात मोठा डेटाबेस ठरला (पहिला 1 अब्ज Yahoo! वापरकर्त्यांचा संग्रह होता, जो 2013 मध्ये दिसला).

हे लवकरच स्पष्ट झाले की संकलन #1 हा डेटा अॅरेचा फक्त एक भाग होता जो हॅकर्सच्या हातात गेला. माहिती सुरक्षा तज्ञांना 2 ते 5 क्रमांकाचे इतर "संग्रह" देखील आढळले आणि त्यांची एकूण मात्रा 845 GB होती. डेटाबेसमधील जवळजवळ सर्व माहिती अद्ययावत आहे, जरी काही लॉगिन आणि पासवर्ड जुने झाले आहेत.

सायबरसुरक्षा तज्ञ ब्रायन क्रेब्स यांनी संग्रहण विकणाऱ्या हॅकरशी संपर्क साधला आणि त्यांना कळले की संग्रह #1 आधीच दोन किंवा तीन वर्षांचा आहे. हॅकरच्या म्हणण्यानुसार, त्याच्याकडे चार टेराबाइट्सपेक्षा जास्त व्हॉल्यूमसह विक्रीसाठी अलीकडील डेटाबेस देखील आहेत.

11 फेब्रुवारी: 16 प्रमुख साइटवरून वापरकर्त्यांचा डेटा लीक

द रजिस्टरची 11 फेब्रुवारीची आवृत्ती अहवाल दिलाड्रीम मार्केट ट्रेडिंग प्लॅटफॉर्म प्रमुख इंटरनेट सेवांच्या 620 दशलक्ष वापरकर्त्यांचा डेटा विकतो:

• डबस्मॅश (१६२ दशलक्ष)
• MyFitnessPal (151 दशलक्ष)
• MyHeritage (92 दशलक्ष)
• शेअर करा (41 दशलक्ष)
• HauteLook (28 दशलक्ष)
• अॅनिमोटो (25 दशलक्ष)
• EyeEm (22 दशलक्ष)
• 8फिट (20 दशलक्ष)
• व्हाईटपेज (18 दशलक्ष)
• फोटोलॉग (16 दशलक्ष)
• 500px (15 दशलक्ष)
• आर्मर गेम्स (11 दशलक्ष)
• BookMate (8 दशलक्ष)
• CoffeeMeetsBagel (6 दशलक्ष)
• आर्टसी (1 दशलक्ष)
• डेटाकॅम्प (700)

हल्लेखोरांनी संपूर्ण डेटाबेससाठी सुमारे $20 हजार मागितले; ते प्रत्येक साइटचे डेटा संग्रहण स्वतंत्रपणे खरेदी करू शकतात.

सर्व साइट वेगवेगळ्या वेळी हॅक झाल्या. उदाहरणार्थ, फोटो पोर्टल 500px ने अहवाल दिला की लीक 5 जुलै 2018 रोजी झाली होती, परंतु डेटासह संग्रहण दिसल्यानंतरच हे ज्ञात झाले.

डेटाबेस समाविष्ट आहे ईमेल पत्ते, वापरकर्तानावे आणि संकेतशब्द. तथापि, एक आनंददायक वस्तुस्थिती आहे: संकेतशब्द बहुतेक एका मार्गाने किंवा दुसर्‍या मार्गाने एनक्रिप्ट केलेले असतात. म्हणजेच, त्यांचा वापर करण्यासाठी, आपल्याला प्रथम डेटा डिक्रिप्ट करण्याबद्दल आपल्या मेंदूला रॅक करावे लागेल. जरी, पासवर्ड साधा असल्यास, त्याचा अंदाज लावणे शक्य आहे.

25 फेब्रुवारी: MongoDB डेटाबेस उघड

25 फेब्रुवारी, माहिती सुरक्षा विशेषज्ञ बॉब डायचेन्को सापडला ऑनलाइन, एक असुरक्षित 150GB MongoDB डेटाबेस ज्यामध्ये 800 दशलक्ष वैयक्तिक डेटा रेकॉर्ड आहेत. संग्रहात ईमेल पत्ते, आडनावे, लिंग आणि जन्मतारीख, दूरध्वनी क्रमांक, पोस्टल कोड आणि पत्ते आणि IP पत्ते समाविष्ट होते.

समस्याप्रधान डेटाबेस सत्यापन IO LLC चा होता, जो ईमेल विपणनामध्ये गुंतलेला होता. त्याची एक सेवा कॉर्पोरेट ईमेल तपासत होती. समस्याग्रस्त डेटाबेसची माहिती मीडियामध्ये दिसू लागताच, कंपनीची वेबसाइट आणि डेटाबेस स्वतःच प्रवेश करण्यायोग्य बनला. नंतर, सत्यापन IO LLC च्या प्रतिनिधींनी सांगितले की डेटाबेसमध्ये कंपनीच्या क्लायंटचा डेटा नव्हता आणि तो मुक्त स्त्रोतांकडून पुन्हा भरला गेला.

10 मार्च: FQuiz आणि Supertest अॅप्सद्वारे फेसबुक वापरकर्त्यांचा डेटा लीक झाला

द वर्जची मार्च १० आवृत्ती एक संदेश पोस्ट केला फेसबुकने दोन युक्रेनियन विकसक, ग्लेब स्लुचेव्हस्की आणि आंद्रेई गोर्बाचेव्ह यांच्याविरुद्ध खटला दाखल केला. त्यांच्यावर वापरकर्त्यांचा वैयक्तिक डेटा चोरल्याचा आरोप ठेवण्यात आला होता.

विकासकांनी चाचण्या घेण्यासाठी अनुप्रयोग तयार केले. या प्रोग्राम्सने ब्राउझर विस्तार स्थापित केला ज्याने वापरकर्ता डेटा संकलित केला. 2017-2018 दरम्यान, FQuiz आणि Supertest यासह चार अॅप्लिकेशन्स सुमारे 63 हजार वापरकर्त्यांचा डेटा चोरण्यात यशस्वी झाले. बहुतेक रशिया आणि युक्रेनमधील वापरकर्ते प्रभावित झाले.

21 मार्च: लाखो फेसबुक पासवर्ड अनएनक्रिप्टेड

21 मार्च रोजी पत्रकार ब्रायन क्रेब्सने अहवाल दिला माझ्या ब्लॉगवरफेसबुक बर्याच काळापासून एनक्रिप्ट न केलेले लाखो पासवर्ड साठवत आहे. कंपनीचे अंदाजे 20 कर्मचारी 200 ते 600 दशलक्ष फेसबुक वापरकर्त्यांचे पासवर्ड पाहू शकतात कारण ते प्लेन टेक्स्ट फॉरमॅटमध्ये साठवले गेले होते. या असुरक्षित डेटाबेसमध्ये काही Instagram पासवर्ड देखील समाविष्ट केले होते. लवकरच सोशल नेटवर्क स्वतः अधिकृतपणे होईल पुष्टी माहिती.

फेसबुकचे अभियांत्रिकी, सुरक्षा आणि गोपनीयतेचे उपाध्यक्ष पेड्रो कानाहुती म्हणाले की, पासवर्ड अनएनक्रिप्टेड संचयित करण्याच्या समस्येचे निराकरण करण्यात आले आहे. आणि सर्वसाधारणपणे, फेसबुक लॉगिन सिस्टम पासवर्ड वाचता न येण्याजोगे बनवण्यासाठी डिझाइन केलेले आहेत. एनक्रिप्टेड पासवर्ड चुकीच्या पद्धतीने अॅक्सेस केल्याचा पुरावा कंपनीला सापडला नाही.

21 मार्च: टोयोटा ग्राहकांचा डेटा लीक

मार्चच्या शेवटी, जपानी ऑटोमेकर टोयोटा घोषित हॅकर्सनी कंपनीच्या ३.१ दशलक्ष ग्राहकांचा वैयक्तिक डेटा चोरण्यात यश मिळवले. 3,1 मार्च रोजी टोयोटाच्या ट्रेडिंग विभाग आणि पाच उपकंपन्यांच्या सिस्टम हॅक करण्यात आल्या होत्या.

ग्राहकांचा कोणता वैयक्तिक डेटा चोरीला गेला हे कंपनीने उघड केले नाही. तथापि, तिने सांगितले की हल्लेखोरांनी बँक कार्ड्सची माहिती मिळवली नाही.

21 मार्च: EIS वेबसाइटवर लिपेटस्क प्रदेशातील रुग्णांकडून डेटाचे प्रकाशन

21 मार्च रोजी, सार्वजनिक चळवळीचे कार्यकर्ते "रुग्ण नियंत्रण" नोंदवले EIS वेबसाइटवर लिपेटस्क प्रदेश आरोग्य विभागाने प्रकाशित केलेल्या माहितीमध्ये, रुग्णांचा वैयक्तिक डेटा प्रदान केला गेला होता.

आपत्कालीन वैद्यकीय सेवांच्या तरतुदीसाठी सरकारी खरेदी वेबसाइटवर अनेक लिलाव पोस्ट केले गेले: रुग्णांना प्रदेशाबाहेरील इतर संस्थांमध्ये स्थानांतरित करावे लागले. वर्णनांमध्ये रुग्णाचे आडनाव, घराचा पत्ता, निदान, आयसीडी कोड, प्रोफाइल इत्यादींविषयी माहिती होती. आश्चर्यकारकपणे, रुग्णांचा डेटा केवळ गेल्या वर्षभरात (!) आठ वेळा उघड्यावर प्रकाशित केला गेला आहे.

लिपेटस्क प्रदेश आरोग्य विभागाचे प्रमुख, युरी शुरशुकोव्ह यांनी सांगितले की अंतर्गत तपासणी सुरू करण्यात आली आहे आणि ज्या रुग्णांचा डेटा प्रकाशित झाला आहे त्यांची माफी मागितली जाईल. लिपेटस्क प्रदेशातील अभियोजक कार्यालयानेही घटनेची तपासणी करण्यास सुरुवात केली.

04 एप्रिल : 540 दशलक्ष फेसबुक वापरकर्त्यांचा डेटा लीक

माहिती सुरक्षा कंपनी UpGuard नोंदवले 540 दशलक्षाहून अधिक फेसबुक वापरकर्त्यांचा डेटा सार्वजनिकपणे उपलब्ध होत आहे.

Cultura Colectiva या मेक्सिकन डिजिटल प्लॅटफॉर्मवर टिप्पण्या, लाइक्स आणि खात्याच्या नावांसह सोशल नेटवर्क सदस्यांच्या पोस्ट आढळल्या. आणि आता बंद झालेल्या At the Pool अॅपमध्ये, नावे, पासवर्ड, ईमेल पत्ते आणि इतर डेटा उपलब्ध होता.

10 एप्रिल: मॉस्को विभागातील रुग्णवाहिका रुग्णांचा डेटा ऑनलाइन लीक झाला

मॉस्को प्रदेशातील आपत्कालीन वैद्यकीय मदत केंद्रांवर (ईएमएस) संभाव्यतः डेटा लीक झाला. कायद्याची अंमलबजावणी करणार्‍या एजन्सींनी घटनेच्या अहवालांची पूर्व-तपासणी सुरू केली.

मॉस्को प्रदेशातील रुग्णवाहिका कॉल्सची माहिती असलेली 17,8 GB फाइल एका फाइल होस्टिंग सेवेवर सापडली. दस्तऐवजात रुग्णवाहिकेला कॉल करणार्‍या व्यक्तीचे नाव, संपर्क फोन नंबर, टीमला कॉल केलेला पत्ता, कॉलची तारीख आणि वेळ, अगदी रुग्णाची स्थिती देखील समाविष्ट आहे. मितिश्ची, दिमित्रोव्ह, डोल्गोप्रुडनी, कोरोलेव्ह आणि बालशिखा येथील रहिवाशांच्या डेटाशी तडजोड केली गेली. असे गृहीत धरले जाते की हा तळ युक्रेनियन हॅकर गटाच्या कार्यकर्त्यांनी घातला होता.

12 एप्रिल: सेंट्रल बँक काळ्या यादीत
मनी लाँड्रिंग विरोधी कायद्याअंतर्गत सेंट्रल बँकेच्या काळ्या यादीतील बँक ग्राहकांचा डेटा इंटरनेटवर सापडले 12 एप्रिल. आम्ही अंदाजे 120 हजार क्लायंटच्या माहितीबद्दल बोलत होतो ज्यांना मनी लाँडरिंग आणि दहशतवादाच्या वित्तपुरवठा (115-FZ) विरुद्धच्या कायद्यानुसार सेवा नाकारण्यात आली होती.

बहुतेक डेटाबेसमध्ये व्यक्ती आणि वैयक्तिक उद्योजक असतात, उर्वरित कायदेशीर संस्था असतात. व्यक्तींसाठी, डेटाबेसमध्ये त्यांचे पूर्ण नाव, जन्मतारीख, मालिका आणि पासपोर्ट क्रमांक याबद्दल माहिती असते. वैयक्तिक उद्योजकांबद्दल - पूर्ण नाव आणि INN, कंपन्यांबद्दल - नाव, INN, OGRN. एका बँकेने पत्रकारांना अनधिकृतपणे कबूल केले की यादीमध्ये वास्तविक नाकारलेल्या ग्राहकांचा समावेश आहे. 26 जून 2017 ते 6 डिसेंबर 2017 या कालावधीत डेटाबेसमध्ये “रिफ्युसेनिक” समाविष्ट आहेत.

15 एप्रिल: हजारो अमेरिकन पोलिस आणि एफबीआय कर्मचार्‍यांचा वैयक्तिक डेटा प्रकाशित

एका सायबर गुन्हेगारी गटाने यूएस फेडरल ब्युरो ऑफ इन्व्हेस्टिगेशनशी संबंधित अनेक वेबसाइट हॅक करण्यात व्यवस्थापित केले. आणि तिने हजारो पोलिस अधिकारी आणि फेडरल एजंट्सच्या वैयक्तिक माहितीसह डझनभर फाईल्स इंटरनेटवर पोस्ट केल्या.
 
सार्वजनिकरित्या उपलब्ध शोषणांचा वापर करून, हल्लेखोरांनी क्वांटिको (व्हर्जिनिया) मधील एफबीआय अकादमीशी संबंधित असोसिएशनच्या नेटवर्क संसाधनांमध्ये प्रवेश मिळवला. त्याबद्दल लिहिले टेकक्रंच
चोरी झालेल्या संग्रहात यूएस कायदा अंमलबजावणी आणि फेडरल अधिकार्‍यांची नावे, त्यांचे पत्ते, फोन नंबर, त्यांच्या ईमेल आणि पदांची माहिती होती. एकूण सुमारे 4000 विविध नोंदी आहेत.

25 एप्रिल: डॉकर हब वापरकर्ता डेटा लीक

सायबर गुन्हेगारांनी जगातील सर्वात मोठ्या कंटेनर इमेज लायब्ररी, डॉकर हबच्या डेटाबेसमध्ये प्रवेश मिळवला, परिणामी अंदाजे 190 हजार वापरकर्त्यांच्या डेटाशी तडजोड झाली. डेटाबेसमध्ये वापरकर्तानावे, पासवर्ड हॅश आणि GitHub आणि Bitbucket रेपॉजिटरीजसाठी टोकन्स स्वयंचलित डॉकर बिल्डसाठी वापरल्या जातात.

डॉकर हब प्रशासन सांगितले शुक्रवारी, 26 एप्रिल रोजी उशिरा झालेल्या घटनेबद्दल वापरकर्ते. अधिकृत माहितीनुसार, डेटाबेसमध्ये अनधिकृत प्रवेश 25 एप्रिल रोजी ज्ञात झाला. या घटनेचा तपास अद्याप पूर्ण झालेला नाही.

तुम्ही Doc+ ची कथा देखील लक्षात ठेवू शकता, जी फार पूर्वी नव्हती प्रकाशित Habré वर, अप्रिय परिस्थिती ट्रॅफिक पोलिस आणि FSSP ला नागरिकांच्या पेमेंटसह आणि त्याने वर्णन केलेल्या इतर लीकसह ashotog.

निष्कर्ष म्हणून

सरकारी एजन्सी, सोशल नेटवर्क्स आणि मोठ्या वेबसाइट्सवर संग्रहित केलेल्या डेटाची असुरक्षितता तसेच चोरीचे प्रमाण भयानक आहे. लीक होणे सामान्य झाले आहे हे देखील खेदजनक आहे. ज्यांच्या वैयक्तिक डेटाशी तडजोड केली गेली आहे अशा अनेकांना याबद्दल माहितीही नसते. आणि जर त्यांना माहित असेल तर ते स्वतःचे संरक्षण करण्यासाठी काहीही करणार नाहीत.

स्त्रोत: www.habr.com