डाक्टर आफ्नो बाटोमा छन्, आफ्नो बाटोमा

एक MongoDB डाटाबेस जसलाई प्रमाणीकरण आवश्यक पर्दैन सार्वजनिक डोमेनमा फेला पर्‍यो, जसमा मस्को आपतकालीन चिकित्सा स्टेशनहरू (EMS) बाट जानकारी समावेश थियो।

दुर्भाग्यवश, यो मात्र समस्या होइन: पहिलो, यस पटक डाटा साँच्चै लीक भयो, र दोस्रो, सबै संवेदनशील जानकारी जर्मनीमा अवस्थित सर्भरमा भण्डार गरिएको थियो (म सोध्न चाहन्छु कि यसले कुनै कानून वा विभागीय निर्देशनहरूको उल्लंघन गर्दछ?).

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

डाटाबेस भएको सर्भर "ssmp", जर्मनी मा प्रसिद्ध होस्टिंग प्रदायक Hetzner को साइट मा स्थित छ।

अप्रत्यक्ष प्रमाणको आधारमा, सर्भर र डाटाबेसको कथित मालिक पहिचान गर्न सम्भव थियो - एक रूसी कम्पनी LLC "कम्प्यूटर बुद्धिमान प्रणाली".

पृष्ठ c-i-systems.com/solutions/programs-smp/ मा, कम्पनीले हामीलाई बताउँछ:

EMS CIS एक सफ्टवेयर उत्पादन हो जुन आपतकालीन (विशेष) चिकित्सा हेरचाह (ईएमएस) स्टेशनहरू रूसी संघको एक घटक निकायको सीमा भित्रको सञ्चालनलाई स्वचालित गर्न डिजाइन गरिएको हो र प्रदान गर्दछ:

• कलहरू प्राप्त गर्दै;
• कल दर्ता र पुनर्निर्देशन;
• EMS स्टेशनहरूको मोबाइल टोलीहरूको गठन, अनुगमन र व्यवस्थापन;
• आपतकालीन प्रतिक्रियाको समयमा आपतकालीन चिकित्सा सेवा टोलीहरूको सामूहिक पुन: नियुक्ति;
• एकल ईएमएस कल प्रोसेसिङ सेन्टरको सञ्चालन;
• बाह्य सूचना प्रणाली संग डाटा आदान प्रदान।

डाटाबेस साइजमा 17.3 GB थियो र यसमा समावेश छ:

• आपतकालीन कलको मिति/समय
• एम्बुलेन्स चालक दलका सदस्यहरूको पूरा नाम (चालक सहित)
• एम्बुलेन्सको लाइसेन्स प्लेट नम्बर
• एम्बुलेन्स वाहन स्थिति (उदाहरणका लागि, "कलमा आइपुग्दै")
• कल ठेगाना
• पूरा नाम, जन्म मिति, बिरामीको लिंग
• बिरामीको अवस्थाको विवरण (उदाहरणका लागि, "तापमान> 39, खराब रूपमा घट्दै, वयस्क")
• एम्बुलेन्स बोलाउने व्यक्तिको पूरा नाम
• सम्पर्क नम्बर
• र धेरै धेरै…

डाटाबेसमा डाटा कार्य पूरा गर्ने प्रक्रियाको लागि कुनै प्रकारको निगरानी / ट्र्याकिङ प्रणालीको लग जस्तै छ। चासोको विषय हो क्षेत्र"डाटा"तालिकामा"assign_data_history"।

(निस्सन्देह, माथिको चित्रमा मैले सबै व्यक्तिगत डेटा लुकाउने प्रयास गरें।)

सुरुमा लेखिएझैं यस पटक प्रमाणीकरणको अभाव मात्र समस्या होइन।

सबैभन्दा महत्त्वपूर्ण कुरा यो हो कि यो डाटाबेस पहिलो पटक समूहका युक्रेनी ह्याकरहरूले पत्ता लगाएका थिए THack3forU, जसले भेटिएको MongoDB मा विभिन्न सन्देशहरू छोड्छ र जानकारी नष्ट गर्दछ। यस पटक केटाहरूले यससँग आफूलाई अलग गरे:

"THack3forU द्वारा ह्याक गरियो! Chanel.nपुटिन एक डिक हो, nMeddvédeva एक चमक हो, nStrelkov एक हरामी हो, nRussia BOTTOM हो!”

र पक्कै पनि तथ्य यो हो कि, सबै 17 GB डाउनलोड गरिसकेपछि, तिनीहरूले फाइल होस्टिङमा CSV ढाँचामा पोस्ट गरे। mega.nz। खुला MongoDB डाटाबेसहरू कसरी पत्ता लगाइन्छ भन्ने बारे - यहाँ.

डाटाबेसको मालिक पहिचान हुने बित्तिकै, मैले उसलाई डाटाबेसमा पहुँच बन्द गर्ने प्रस्तावको साथ एक सूचना पठाएँ, यद्यपि यो पहिले नै धेरै ढिलो भइसकेको थियो - डाटा "गिसकेको थियो।"

पहिलो पटक खोज इन्जिन शोडान यो डाटाबेस 28.06.2018/08.04.2019/17 मा रेकर्ड गरियो, र यसको पहुँच अन्ततः 20/18/05 मा बन्द भयो, कतै 6:XNUMX र XNUMX:XNUMX (मस्को समय) बीचमा। सूचना जारी भएको ६ घण्टाभन्दा कम समय बितिसकेको छ ।

सूचना चुहावट र भित्री कुराहरू बारे समाचार सधैं मेरो टेलिग्राम च्यानलमा फेला पार्न सकिन्छ "सूचना चुहावट"।

स्रोत: www.habr.com