Medische gegevens – , kredietgegevens – , deze keer zijn de gegevens over betalingen voor verkeersboetes en schulden van de gerechtelijke uitvoeringsdiensten aan de beurt.
Het goede nieuws is dat deze betalingen niet verbonden zijn aan de officiële website van de overheidsdiensten. Het slechte nieuws is dat er veel gegevens zijn en deze zijn meer dan 'persoonlijk'.
Disclaimer: alle informatie hieronder wordt uitsluitend voor educatieve doeleinden gepubliceerd. De auteur heeft geen toegang gehad tot de persoonlijke gegevens van derden en bedrijven. De informatie is verkregen uit openbare bronnen of werd aan de auteur verstrekt door anonieme weldoeners.In de nacht van 12 april werd er een Elasticsearch-server ontdekt die geen authenticatie vereiste voor verbinding. Over hoe heb ik een artikel in de blog geschreven.
In de Elasticsearch-indexen stonden logs van een bepaald informatie systeem (IS). Er werd gespeculeerd over een verband tussen deze server en websites die betalingen voor verschillende overheidsdiensten accepteren: oplatagibdd.rf, paygibdd.nl, gos-oplata.nl, boetes.net en oplata-fssp.nl.
In de ochtend van 13.04.2019 heb ik een melding verzonden naar de volgende e-mailadressen: support@gos-oplata.ru, support@oplata-fssp.ru, support@paygibdd.ru, maar zoals vaak het geval is, heb ik geen reactie ontvangen. De server werd stilletjes 'afgesloten' en verdween uit de open toegang op 13.04.2019 rond 15:20-15:45 (MSK).
Op het moment van het sluiten van de server, zagen de Elasticsearch-indexen er zo uit:
Laten we nu naar het interessantste gaan – de persoonlijke gegevens. Zoals ik eerder zei, bevatten de indexen logs van een of andere IS. En zoals vaak het geval is, bleken de logs erg gedetailleerd te zijn, zelfs te veel.
De logs werden bewaard vanaf 28.02.2019 en niet voor de hele tijd dat de IS operationeel was. In sommige indexen waren de gegevens van 17.03.2019.
Bijvoorbeeld, uit de logs van de index gosoplata kon men het volgende verkrijgen (totaal 248365, exclusief foutlogging):
{
"_index": "gosoplata",
"_type": "log",
"@timestamp": "2019-03-02T20:55:02+03:00",
"message": "Aanmaning gevonden in GIS",
"extra": "[n 'gis_info' => unserialize('O:34:"app\models\payment\api\PenaltyInfo":10:{s:10:"billNumber";s:20:"XXXX021170025955001";s:8:"billDate";s:10:"2017-04-03";s:10:"validUntil";s:10:"2017-06-03";s:6:"amount";s:9:"146030.26";s:7:"addInfo";s:1424:"Betaling van de schuld volgens IP № XXXX/17/ XXXX -IP van 03.04.2017 ten aanzien van MXXXX X. X., Schuld voor kredietbetalingen (behalve hypotheken)////UIN32253021170025955001_IP0;Afdeling: UFK VOOR DE NOVGOROD REGIO (OSP NOVGORODSKOGO, BATECKOGO EN KRESTETSKOGO REGIO'S UFSIN RUSLAND VOOR DE NOVGOROD REGIO L/S 05501845860);Ontvanger: UFK VOOR DE NOVGOROD REGIO (OSP NOVGORODSKOGO, BATECKOGO EN KRESTETSKOGO REGIO'S UFSIN RUSLAND VOOR DE NOVGOROD REGIO L/S 05501845860);Bank Ontvanger: AFDELING NOVGOROD;Rekeningnummer Ontvanger: 40302810400001000005;INN: 5321100670;KPP: 532132002;BIC Van de Ontvanger: 044959001;OKATO: 49625000;KBK: 0;idDebtsum:146540.26;ipPaymentAmount:0.00;ipOperationAmount:0.00;dataUnloadDate:2018-12-04T11:26:19.000;dataIdDate:2017-01-27;dataIdNumber:2-53/2017;dataIpRiseDate:2017-04-03;dataIpNumber: XXXX/17/XXXX-IP;dataIdDbtrFio:MXXXX XX XX;dataIdDbtrBorn:XXXX-09-03;dataIdDebtText:Schuld voor kredietbetalingen (behalve hypotheken);";s:7:"docName";s:3:"inn";s:9:"docNumber";s:12:" XXXX0819584";s:9:"payStatus";s:1:"0";s:9:"quittance";s:1:"3";s:11:"amountToPay";s:9:"146030.26";}'),n]",
"context": "[n '_GET' => [],n '_POST' => [],n]"
}
}Ik heb alle gevoelige gegevens vervangen door het teken «X». In werkelijkheid was alles openbaar opgeslagen.
Uit de index oplata-fssp (totaal 283958, exclusief fouten):
{
"_index": "oplata-fssp",
"_type": "log",
"@timestamp": "2019-02-28T22:17:24+03:00",
"extra": "[n 'request_data' => [n 'MNT_ID' => 'XXXX3280',n 'MNT_TRANSACTION_ID' => ''XXXX0795c78337a5a308',n 'MNT_OPERATION_ID' => ''XXXX 3232',n 'MNT_AMOUNT' => '544.00',n 'MNT_CURRENCY_CODE' => 'RUB',n 'MNT_TEST_MODE' => '0',n 'MNT_SIGNATURE' => '6435224ccXXXXXX10bbc970f6479787',n 'paymentSystem_unitId' => '1686945',n 'MNT_CORRACCOUNT' => '303',n 'MNT_PAY_SYSTEM' => 'payanyway',n 'MNT_IS_REGULAR' => '',n 'MNT_FORM_METHOD' => 'POST',n 'cardnumber' => '639002********7417',n ],n 'model_attributes' => [n 'id' => 482137,n 'parent_id' => null,n 'name' => 'X XXXXXX XXXXX',n 'ur' => 0,n 'birthdate' => 'XXXX-06-06',n 'doc_type' => null,n 'doc_value' => null,n 'hash' => ''XXXX795c78337a5a308',n 'created_at' => '2019-02-28 22:16:10',n 'form_url' => 'https://service.moneta.ru/assistant.widget? 'XXXXXX&MNT_CURRENCY_CODE=RUB&MNT_AMOUNT=544.00&MNT_DESCRIPTION=Betaling van een schuld aan de FSSP. Bestelling N482137 UIN: 32223088190136500007 Zakenregister: XXXXXX/19/XXXXXX-IP&MNT_TEST_MODE=0&'XXXXXX &MNT_SUCCESS_URL=https://oplata-fssp.ru/payment/success&MNT_FAIL_URL=https://oplata-fssp.ru/payment/fail&MNT_PAY_SYSTEM=payanyway&MNT_IS_REGULAR=&MNT_FORM_METHOD=POST&followup=true',n 'email' => ''XXXXXX@bk.ru',n 'payment_system_id' => 'moneta',n 'transaction_id' => '338533232',n 'updated_at' => '2019-02-28 22:16:16',n 'a3_order_hash' => null,n 'receipt_send' => null,n 'receipt_status_id' => null,n 'payment_status_id' => 'callback_received',n 'lead_source' => 'fssp',n ],n]",
"context": "[n '_GET' => [],n '_POST' => [n 'MNT_ID' => ''XXXX280',n 'MNT_TRANSACTION_ID' => ''XXXX795c78337a5a308',n 'MNT_OPERATION_ID' => ''XXXX3232',n 'MNT_AMOUNT' => '544.00',n 'MNT_CURRENCY_CODE' => 'RUB',n 'MNT_TEST_MODE' => '0',n 'MNT_SIGNATURE' => '6435224cc'XXXXXX10bbc970f6479787',n 'paymentSystem_unitId' => ''XXXX45',n 'MNT_CORRACCOUNT' => '303',n 'MNT_PAY_SYSTEM' => 'payanyway',n 'MNT_IS_REGULAR' => '',n 'MNT_FORM_METHOD' => 'POST',n 'cardnumber' => '639002********7417',n ],n]"
}Hier zie je (waarde cardnumber), dat alleen de betalingsgateway (in dit geval moneta.ru) de volledige nummers van de creditcards heeft beschermd tegen lekken (alleen de eerste 6 en laatste 4 cijfers van het kaartnummer).
Ook uit de logs bleek dat de officiële website van de FSSP burgers aanmoedigt om betalingen via deze informatie-systeem te doen: is.fssprus.ru/pay/?service=gosoplata&pay=XXXXXX/18/XXXXXXX-IP. Dit wordt indirect bevestigd door de tekst onderaan de website. oplata-fssp.nl:
Laten we nu kijken wat er aan de hand is met de verkeersboetes. Een duidelijk verantwoordelijkheid zijn de indexen shatrafov-net (4528 records exclusief fouten) en paygibdd (140666 records exclusief fouten):
{
"_index": "shtrafov-net",
"_type": "log",
"@timestamp": "2019-03-17T17:16:51+03:00",
"message": "INSERT INTO customer (doc_type, doc_value, licence_plate, vehicle_model) VALUES ('ctc', '99026XXXXXX', 'UXXXXRMX', 'LAND ROVER RANGE ROVER')",
"context": "[n '_GET' => [],n '_POST' => [n 'postdate' => '10/03/2019',n 'postnum' => '18810018180002XXXXXX',n 'postsum' => '1000',n 'divid' => '1194040',n 'uin' => '18810018180002XXXXXX',n 'regnum' => 'UXXXXRM',n 'regreg' => '1X',n 'reg' => 'XXXX34084',n 'discount' => '1',n 'discountdate' => '01/04/2019 23:59:59',n 'allfines' => '[{"Discount":"1","enableDiscount":false,"DateDecis":"2019-03-10 09:05:00","KoAPcode":"12.6","DateDiscount":"01/04/2019 23:59:59","VehicleModel":"LAND ROVER RANGE ROVER","KoAPtext":"BESTURING VAN EEN VOERTUIG DOOR DE BESTUURDER ZONDER VEILIGHEIDSGORDEL, HET VERVOEREN VAN PASSAGIERS ZONDER VEILIGHEIDSGORDELS, WANNEER DE VOERTUIGCONSTRUCTIE GORDELS VOORSCHRIJFT, EN EVENALS DE BESTURING VAN EEN MOTORFIETS OF HET VERVOEREN VAN PASSAGIERS OP EEN MOTORFIETS ZONDER HELMEN OF IN GEEN VASTGEPARKEERDE HELMEN","NumPost":"18810018180002XXXXXX","kbk":"18811630020016000140","Summa":1000,"Division":1194040,"enablePics":false,"id":"18#FF474785255","SupplierBillID":"18810018180002XXXXXX","DatePost":"10/03/2019"},{"Discount":"1","enableDiscount":false,"DateDecis":"2019-03-08 14:55:00","KoAPcode":"12.9ч.2","DateDiscount":"01/04/2019 23:59:59","VehicleModel":"LAND ROVER RANGE ROVER","KoAPtext":"OVERTREDING VAN DE VERSCHILLENDE SNELHEIDSLIMIET OP DE WEG MET MEER DAN 20, MAAR NIET MEER DAN 40 KM/UREN","NumPost":"18810118190312XXXXXX","kbk":"18811630020016000140","Summa":500,"Division":1194010,"enablePics":true,"id":"18#18810118190312XXXXXX","SupplierBillID":"18810118190312XXXXXX","DatePost":"12/03/2019"}]',n ],n]"
}
{
"_index": "paygibdd",
"_type": "log",
"@timestamp": "2019-02-28T17:30:57+03:00",
"message": "Inkomend betalingsverzoek",
"extra": "[n 'request_data' => [n 'postdate' => '02.10.2017',n 'postnum' => '188101161710029XXXXXX',n 'postsum' => '500',n 'divid' => '1192201',n 'uin' => '188101161710029XXXXXX',n 'regnum' => 'XXXXCB',n 'regreg' => '1XX',n 'reg' => '16462XXXXXX',n 'discount' => '1',n 'discountdate' => '2017-10-23 23:59:59',n 'allfines' => '[{"Discount":"0","DateDecis":"2016-12-17 02:30:00","KoAPcode":"12.26ч.1","KoAPtext":"NIET VOLDOEN AAN DE WETTELIJKE EIS VAN DE POLITIE AAN DE BESTUURDER OM EEN MEDISCHE TEST OP VERSTAND VAN DRANK OF DRUGS TE UNTERGAAN","NumPost":"188104121603000XXXXXX","kbk":"18811630020016000140","Summa":"30000","Division":1188030,"enablePics":false,"id":"12#FF176064188","SupplierBillID":"188104121603000XXXXXX","DatePost":"2017-03-06","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2017-09-18 14:32:00","KoAPcode":"12.9ч.2","DateDiscount":"2017-10-23 23:59:59","KoAPtext":"OVERTREDING VAN DE VERSCHILLENDE SNELHEIDSLIMIET OP DE WEG MET MEER DAN 20, MAAR NIET MEER DAN 40 KM/UREN","NumPost":"188101161710029XXXXXX","kbk":"18811630020016000140","Summa":"500","Division":1192201,"enablePics":true,"id":"16#43522519023478911XXXXXX","SupplierBillID":"188101161710029XXXXXX","DatePost":"2017-10-02","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2017-11-01 04:23:00","KoAPcode":"12.9ч.2","DateDiscount":"2017-11-24 23:59:59","KoAPtext":"OVERTREDING VAN DE VERSCHILLENDE SNELHEIDSLIMIET OP DE WEG MET MEER DAN 20, MAAR NIET MEER DAN 40 KM/UREN","NumPost":"18810116171104XXXXXX","kbk":"18811630020016000140","Summa":"500","Division":1192201,"enablePics":true,"id":"16#44211639030358281XXXXXX","SupplierBillID":"1881011617110XXXXXX","DatePost":"2017-11-04","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2017-10-31 12:08:00","KoAPcode":"12.9ч.2","DateDiscount":"2017-11-27 23:59:59","KoAPtext":"OVERTREDING VAN DE VERSCHILLENDE SNELHEIDSLIMIET OP DE WEG MET MEER DAN 20, MAAR NIET MEER DAN 40 KM/UREN","NumPost":"188101161711056XXXXXX","kbk":"18811630020016000140","Summa":"500","Division":1192201,"enablePics":true,"id":"16#44236760030609331XXXXXX","SupplierBillID":"188101161711056XXXXXX","DatePost":"2017-11-05","DateSSP":null},{"Discount":"1","enableDiscount":false,"DateDecis":"2018-01-27 23:46:00","KoAPcode":"12.37ч.2","DateDiscount":"2018-02-16 23:59:59","KoAPtext":"NIET VOLDOEN AAN DE WETTELIJKE EIS VAN DE FEDERALE WET TEGEN OVERZICHT VAN DE WAARDEN VAN DE VERPLICHTE AUTOVERZEKERING AAN DE BESTUURDER, WANNEER DEZE VERPLICHTING IN DEZE AUTOVERZEKERING BELANGRIJK IS","NumPost":"188102161820027XXXXXX","kbk":"18811630020016000140","Summa":"800","Division":1192200,"enablePics":false,"id":"16#4516501003986993XXXXXX","SupplierBillID":"188102161820027XXXXXX","DatePost":"2018-01-27","DateSSP":null}]',n ],n]",
Samenvattend, alle details van betalingen waren vrij toegankelijk: het nummer van de boete, het kenteken van de auto, het nummer van de uitvoeringsprocedure voor de betaling aan de deurwaarders, de eerste en laatste cijfers van de bankkaarten, via welke betaalgateway de betaling is gedaan, de naam en het e-mailadres van de betaler en nog veel meer.
Voor de geselecteerde dag (12.04) waren er (record):
shtrafov-net 251
paygibdd 3821
gosoplata 20676
oplata-fssp 15277De zoekmachine Shodan ontdekte deze server voor het eerst openbaar op 24.02.2019.
Nieuws over datalekken en klokkenluiders zijn altijd te vinden op mijn Telegram-kanaal ‘».
Bron: habr.com
