ਮੁੜ: ਸਟੋਰ, ਸੈਮਸੰਗ, ਸੋਨੀ ਸੈਂਟਰ, ਨਾਈਕੀ, LEGO ਅਤੇ ਸਟ੍ਰੀਟ ਬੀਟ ਸਟੋਰਾਂ ਤੋਂ ਗਾਹਕ ਡੇਟਾ ਦਾ ਲੀਕ ਹੋਣਾ

ਪਿਛਲੇ ਹਫ਼ਤੇ Kommersant ਰਿਪੋਰਟ ਕੀਤਾ, ਕਿ "ਸਟ੍ਰੀਟ ਬੀਟ ਅਤੇ ਸੋਨੀ ਸੈਂਟਰ ਦੇ ਗਾਹਕ ਅਧਾਰ ਜਨਤਕ ਡੋਮੇਨ ਵਿੱਚ ਸਨ," ਪਰ ਅਸਲ ਵਿੱਚ ਸਭ ਕੁਝ ਲੇਖ ਵਿੱਚ ਲਿਖੇ ਗਏ ਸ਼ਬਦਾਂ ਨਾਲੋਂ ਬਹੁਤ ਮਾੜਾ ਹੈ।

ਮੈਂ ਪਹਿਲਾਂ ਹੀ ਇਸ ਲੀਕ ਦਾ ਵਿਸਤ੍ਰਿਤ ਤਕਨੀਕੀ ਵਿਸ਼ਲੇਸ਼ਣ ਕਰ ਚੁੱਕਾ ਹਾਂ। ਟੈਲੀਗ੍ਰਾਮ ਚੈਨਲ ਵਿੱਚ, ਇਸ ਲਈ ਇੱਥੇ ਅਸੀਂ ਸਿਰਫ ਮੁੱਖ ਨੁਕਤਿਆਂ 'ਤੇ ਜਾਵਾਂਗੇ।

Дисклеймер: вся информация ниже публикуется исключительно в образовательных целях. Автор не получал доступа к персональным данным третьих лиц и компаний. Информация взята либо из открытых источников, либо была предоставлена автору анонимными доброжелателями.

ਸੂਚਕਾਂਕ ਦੇ ਨਾਲ ਇੱਕ ਹੋਰ Elasticsearch ਸਰਵਰ ਸੁਤੰਤਰ ਰੂਪ ਵਿੱਚ ਉਪਲਬਧ ਸੀ:

• graylog2_0
• README
• unauth_text
• http:
• graylog2_1

В graylog2_0 ਵਿੱਚ 16.11.2018 ਨਵੰਬਰ, 2019 ਤੋਂ ਮਾਰਚ XNUMX ਤੱਕ ਦੇ ਲੌਗ ਸ਼ਾਮਲ ਹਨ, ਅਤੇ ਇਨ graylog2_1 - ਮਾਰਚ 2019 ਤੋਂ 04.06.2019/XNUMX/XNUMX ਤੱਕ ਲੌਗਸ। Elasticsearch ਤੱਕ ਪਹੁੰਚ ਬੰਦ ਹੋਣ ਤੱਕ, ਵਿੱਚ ਰਿਕਾਰਡਾਂ ਦੀ ਗਿਣਤੀ graylog2_1 ਵਧਿਆ

ਸ਼ੋਡਨ ਖੋਜ ਇੰਜਣ ਦੇ ਅਨੁਸਾਰ, ਇਹ ਇਲਾਸਟਿਕ ਖੋਜ 12.11.2018 ਨਵੰਬਰ, 16.11.2018 ਤੋਂ ਮੁਫ਼ਤ ਵਿੱਚ ਉਪਲਬਧ ਹੈ (ਜਿਵੇਂ ਕਿ ਉੱਪਰ ਲਿਖਿਆ ਗਿਆ ਹੈ, ਲੌਗਸ ਵਿੱਚ ਪਹਿਲੀਆਂ ਐਂਟਰੀਆਂ XNUMX ਨਵੰਬਰ, XNUMX ਨੂੰ ਹਨ)।

ਲਾਗਿ = ਖੇਤ ਵਿਚ gl2_remote_ip IP ਐਡਰੈੱਸ 185.156.178.58 ਅਤੇ 185.156.178.62 DNS ਨਾਵਾਂ ਦੇ ਨਾਲ ਨਿਰਧਾਰਤ ਕੀਤੇ ਗਏ ਸਨ srv2.inventive.ru и srv3.inventive.ru:

ਮੈਂ ਸੂਚਿਤ ਕੀਤਾ ਖੋਜੀ ਰਿਟੇਲ ਗਰੁੱਪ (www.inventive.ru) 04.06.2019/18/25 ਨੂੰ 22:30 (ਮਾਸਕੋ ਦੇ ਸਮੇਂ) 'ਤੇ ਸਮੱਸਿਆ ਬਾਰੇ ਅਤੇ XNUMX:XNUMX ਤੱਕ ਸਰਵਰ ਜਨਤਕ ਪਹੁੰਚ ਤੋਂ "ਚੁੱਪ-ਚਾਪ" ਗਾਇਬ ਹੋ ਗਿਆ।

ਮੌਜੂਦ ਲੌਗਸ (ਸਾਰਾ ਡੇਟਾ ਅਨੁਮਾਨ ਹੈ, ਡੁਪਲੀਕੇਟ ਗਣਨਾਵਾਂ ਤੋਂ ਨਹੀਂ ਹਟਾਏ ਗਏ ਸਨ, ਇਸਲਈ ਅਸਲ ਲੀਕ ਕੀਤੀ ਜਾਣਕਾਰੀ ਦੀ ਮਾਤਰਾ ਘੱਟ ਹੋਣ ਦੀ ਸੰਭਾਵਨਾ ਹੈ):

• ਰੀ:ਸਟੋਰ, ਸੈਮਸੰਗ, ਸਟ੍ਰੀਟ ਬੀਟ ਅਤੇ ਲੇਗੋ ਸਟੋਰਾਂ ਤੋਂ ਗਾਹਕਾਂ ਦੇ 3 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਈਮੇਲ ਪਤੇ
• ਰੀ:ਸਟੋਰ, ਸੋਨੀ, ਨਾਈਕੀ, ਸਟ੍ਰੀਟ ਬੀਟ ਅਤੇ ਲੇਗੋ ਸਟੋਰਾਂ ਤੋਂ ਗਾਹਕਾਂ ਦੇ 7 ਮਿਲੀਅਨ ਤੋਂ ਵੱਧ ਫ਼ੋਨ ਨੰਬਰ
• ਸੋਨੀ ਅਤੇ ਸਟ੍ਰੀਟ ਬੀਟ ਸਟੋਰਾਂ ਦੇ ਖਰੀਦਦਾਰਾਂ ਦੇ ਨਿੱਜੀ ਖਾਤਿਆਂ ਤੋਂ 21 ਹਜ਼ਾਰ ਤੋਂ ਵੱਧ ਲੌਗਇਨ/ਪਾਸਵਰਡ ਜੋੜੇ।
• ਫ਼ੋਨ ਨੰਬਰਾਂ ਅਤੇ ਈਮੇਲ ਦੇ ਨਾਲ ਜ਼ਿਆਦਾਤਰ ਰਿਕਾਰਡਾਂ ਵਿੱਚ ਪੂਰੇ ਨਾਮ (ਅਕਸਰ ਲਾਤੀਨੀ ਵਿੱਚ) ਅਤੇ ਵਫ਼ਾਦਾਰੀ ਕਾਰਡ ਨੰਬਰ ਹੁੰਦੇ ਹਨ।

ਨਾਈਕੀ ਸਟੋਰ ਕਲਾਇੰਟ ਨਾਲ ਸੰਬੰਧਿਤ ਲੌਗ ਤੋਂ ਉਦਾਹਰਨ (“X” ਅੱਖਰਾਂ ਨਾਲ ਬਦਲਿਆ ਗਿਆ ਸਾਰਾ ਸੰਵੇਦਨਸ਼ੀਲ ਡੇਟਾ):

"message": "{"MESSAGE":"[URI] /personal/profile/[МЕТОД ЗАПРОСА] contact[ДАННЫЕ POST] Arrayn(n    [contact[phone]] => +7985026XXXXn    [contact[email]] => [email protected]    [contact[channel]] => n    [contact[subscription]] => 0n)n[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 27008290n    [brand] => NIKEn)n[ОТВЕТ СЕРВЕРА] Код ответа - 200[ОТВЕТ СЕРВЕРА] stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7985026XXXXn            [email] => [email protected]            [channel] => 0n            [subscription] => 0n        )nn)n","DATE":"31.03.2019 12:52:51"}",

ਅਤੇ ਇੱਥੇ ਇੱਕ ਉਦਾਹਰਨ ਹੈ ਕਿ ਕਿਵੇਂ ਵੈੱਬਸਾਈਟਾਂ 'ਤੇ ਖਰੀਦਦਾਰਾਂ ਦੇ ਨਿੱਜੀ ਖਾਤਿਆਂ ਤੋਂ ਲੌਗਇਨ ਅਤੇ ਪਾਸਵਰਡ ਸਟੋਰ ਕੀਤੇ ਗਏ ਸਨ sc-store.ru и street-beat.ru:

"message":"{"MESSAGE":"[URI]/action.php?a=login&sessid=93164e2632d9bd47baa4e51d23ac0260&login=XXX%40gmail.com&password=XXX&remember=Y[МЕТОД ЗАПРОСА] personal[ДАННЫЕ  GET] Arrayn(n    [digital_id] => 26725117n    [brand]=> SONYn)n[ОТВЕТ СЕРВЕРА] Код ответа - [ОТВЕТ СЕРВЕРА] ","DATE":"22.04.2019 21:29:09"}"

ਇਸ ਘਟਨਾ 'ਤੇ IRG ਦਾ ਅਧਿਕਾਰਤ ਬਿਆਨ ਪੜ੍ਹਿਆ ਜਾ ਸਕਦਾ ਹੈ ਇੱਥੇ, ਇਸ ਤੋਂ ਅੰਸ਼:

ਅਸੀਂ ਇਸ ਬਿੰਦੂ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਨਹੀਂ ਕਰ ਸਕਦੇ ਅਤੇ ਧੋਖਾਧੜੀ ਦੇ ਉਦੇਸ਼ਾਂ ਲਈ ਨਿੱਜੀ ਖਾਤਿਆਂ ਦੇ ਡੇਟਾ ਦੀ ਸੰਭਾਵਿਤ ਵਰਤੋਂ ਤੋਂ ਬਚਣ ਲਈ, ਗਾਹਕਾਂ ਦੇ ਨਿੱਜੀ ਖਾਤਿਆਂ ਦੇ ਪਾਸਵਰਡ ਨੂੰ ਅਸਥਾਈ ਖਾਤੇ ਵਿੱਚ ਬਦਲ ਦਿੱਤਾ ਹੈ। ਕੰਪਨੀ street-beat.ru ਗਾਹਕਾਂ ਦੇ ਨਿੱਜੀ ਡੇਟਾ ਦੇ ਲੀਕ ਹੋਣ ਦੀ ਪੁਸ਼ਟੀ ਨਹੀਂ ਕਰਦੀ ਹੈ। ਇਨਵੈਂਟਿਵ ਰਿਟੇਲ ਗਰੁੱਪ ਦੇ ਸਾਰੇ ਪ੍ਰੋਜੈਕਟਾਂ ਦੀ ਵੀ ਜਾਂਚ ਕੀਤੀ ਗਈ। ਗਾਹਕਾਂ ਦੇ ਨਿੱਜੀ ਡੇਟਾ ਨੂੰ ਕੋਈ ਧਮਕੀ ਨਹੀਂ ਮਿਲੀ।

ਇਹ ਬੁਰਾ ਹੈ ਕਿ IRG ਇਹ ਨਹੀਂ ਸਮਝ ਸਕਦਾ ਕਿ ਕੀ ਲੀਕ ਹੋਇਆ ਹੈ ਅਤੇ ਕੀ ਨਹੀਂ ਹੈ। ਇੱਥੇ ਸਟ੍ਰੀਟ ਬੀਟ ਸਟੋਰ ਕਲਾਇੰਟ ਨਾਲ ਸੰਬੰਧਿਤ ਲੌਗ ਤੋਂ ਇੱਕ ਉਦਾਹਰਨ ਹੈ:

"message": "{"MESSAGE":"'DATA' => ['URI' => /local/components/multisite/order/ajax.php,'МЕТОД ЗАПРОСА' = contact,'ДАННЫЕ POST' = Arrayn(n    [contact[phone]] => 7915545XXXXn)n,'ДАННЫЕ  GET' =nttArrayn(n    [digital_id] => 27016686n    [brand] => STREETBEATn)n,'ОТВЕТ СЕРВЕРА' = 'Код ответа - '200,'RESPONCE' = stdClass Objectn(n    [result] => successn    [contact] => stdClass Objectn        (n            [phone] => +7915545XXXXn            [email] => [email protected]","Дата":"01.04.2019 08:33:48"}",

ਹਾਲਾਂਕਿ, ਆਓ ਸੱਚਮੁੱਚ ਬੁਰੀ ਖ਼ਬਰ ਵੱਲ ਵਧੀਏ ਅਤੇ ਸਮਝਾਈਏ ਕਿ ਇਹ IRG ਗਾਹਕਾਂ ਦੇ ਨਿੱਜੀ ਡੇਟਾ ਦਾ ਲੀਕ ਕਿਉਂ ਹੈ।

ਜੇ ਤੁਸੀਂ ਇਸ ਸੁਤੰਤਰ ਤੌਰ 'ਤੇ ਉਪਲਬਧ Elasticsearch ਦੇ ਸੂਚਕਾਂਕ ਨੂੰ ਨੇੜਿਓਂ ਦੇਖਦੇ ਹੋ, ਤਾਂ ਤੁਸੀਂ ਉਨ੍ਹਾਂ ਵਿੱਚ ਦੋ ਨਾਮ ਵੇਖੋਗੇ: README и unauth_text. ਇਹ ਬਹੁਤ ਸਾਰੀਆਂ ਰੈਨਸਮਵੇਅਰ ਸਕ੍ਰਿਪਟਾਂ ਵਿੱਚੋਂ ਇੱਕ ਦਾ ਵਿਸ਼ੇਸ਼ ਚਿੰਨ੍ਹ ਹੈ। ਇਸ ਨੇ ਦੁਨੀਆ ਭਰ ਦੇ 4 ਹਜ਼ਾਰ ਤੋਂ ਵੱਧ Elasticsearch ਸਰਵਰਾਂ ਨੂੰ ਪ੍ਰਭਾਵਿਤ ਕੀਤਾ। ਸਮੱਗਰੀ README ਇਸ ਤਰ੍ਹਾਂ ਦਿੱਸਦਾ ਹੈ:

"ALL YOUR INDEX AND ELASTICSEARCH DATA HAVE BEEN BACKED UP AT OUR SERVERS, TO RESTORE SEND 0.1 BTC TO THIS BITCOIN ADDRESS 14ARsVT9vbK4uJzi78cSWh1NKyiA2fFJf3 THEN SEND AN EMAIL WITH YOUR SERVER IP, DO NOT WORRY, WE CAN NEGOCIATE IF CAN NOT PAY"

ਜਦੋਂ ਕਿ IRG ਲੌਗਸ ਵਾਲਾ ਸਰਵਰ ਸੁਤੰਤਰ ਤੌਰ 'ਤੇ ਪਹੁੰਚਯੋਗ ਸੀ, ਇੱਕ ਰੈਨਸਮਵੇਅਰ ਸਕ੍ਰਿਪਟ ਨੇ ਨਿਸ਼ਚਤ ਤੌਰ 'ਤੇ ਗਾਹਕਾਂ ਦੀ ਜਾਣਕਾਰੀ ਤੱਕ ਪਹੁੰਚ ਪ੍ਰਾਪਤ ਕੀਤੀ ਅਤੇ, ਇਸ ਦੁਆਰਾ ਛੱਡੇ ਗਏ ਸੰਦੇਸ਼ ਦੇ ਅਨੁਸਾਰ, ਡੇਟਾ ਨੂੰ ਡਾਊਨਲੋਡ ਕੀਤਾ ਗਿਆ ਸੀ।

ਇਸ ਤੋਂ ਇਲਾਵਾ, ਮੈਨੂੰ ਕੋਈ ਸ਼ੱਕ ਨਹੀਂ ਹੈ ਕਿ ਇਹ ਡੇਟਾਬੇਸ ਮੇਰੇ ਤੋਂ ਪਹਿਲਾਂ ਲੱਭਿਆ ਗਿਆ ਸੀ ਅਤੇ ਪਹਿਲਾਂ ਹੀ ਡਾਊਨਲੋਡ ਕੀਤਾ ਗਿਆ ਸੀ. ਮੈਂ ਇਹ ਵੀ ਕਹਾਂਗਾ ਕਿ ਮੈਨੂੰ ਇਸ ਗੱਲ ਦਾ ਯਕੀਨ ਹੈ। ਇਹ ਕੋਈ ਰਾਜ਼ ਨਹੀਂ ਹੈ ਕਿ ਅਜਿਹੇ ਖੁੱਲ੍ਹੇ ਡੇਟਾਬੇਸ ਨੂੰ ਜਾਣਬੁੱਝ ਕੇ ਖੋਜਿਆ ਜਾਂਦਾ ਹੈ ਅਤੇ ਬਾਹਰ ਕੱਢਿਆ ਜਾਂਦਾ ਹੈ.

ਜਾਣਕਾਰੀ ਲੀਕ ਅਤੇ ਅੰਦਰੂਨੀ ਬਾਰੇ ਖ਼ਬਰਾਂ ਹਮੇਸ਼ਾ ਮੇਰੇ ਟੈਲੀਗ੍ਰਾਮ ਚੈਨਲ 'ਤੇ ਪਾਈਆਂ ਜਾ ਸਕਦੀਆਂ ਹਨ"ਜਾਣਕਾਰੀ ਲੀਕ" https://t.me/dataleak.

ਸਰੋਤ: www.habr.com