Wszystkie Twoje kredyty konsumpcyjne i dane osobowe „w jednym miejscu”…

Kontynuujemy maraton przecieków z rosyjskich baz danych, pozostawionych przez ich właścicieli w otwartym dostępie.

Tym razem odkryto bazę MongoDB, która nie wymaga autoryzacji, z danymi osobowymi i zdjęciami pożyczkobiorców z Południowego, Uralowego i Środkowego Okręgu Federalnego oraz wszystkimi ich wnioskami kredytowymi.

Disclaimer: wszystkie informacje poniżej publikowane są wyłącznie w celach edukacyjnych. Autor nie uzyskał dostępu do danych osobowych osób trzecich ani firm. Zrzuty ekranu są pobierane albo z otwartych źródeł, albo zostały dostarczone przez przyjaciół autora.

Baza danych, o wielkości około 158 GB, zawierała 74 kolekcje (collections) i według danych wyszukiwarki BinaryEdge (o tym, jak wykrywają otwarte bazy danych Elasticsearch i MongoDB pisałem osobny artykuł), była dostępna w wolnym dostępie przez co najmniej 11 dni.

Na podstawie pośrednich wskazówek postawiono przypuszczenie odnośnie możliwego właściciela bazy: wszyscy (5042) użytkownicy z kolekcji users posiadali adresy e-mail na domenach @poslogic.pro i @finservice.pro a ponadto adres IP bazy danych różnił się tylko o 1 od adresu IP strony www.finservice.pro.

Na stronie www.finservice.pro napisano:

Firma Finservice prowadzi swoją działalność od 2012 roku i jest wiodącym niezależnym brokerem finansowym w zakresie kredytów POS na rynku Rosji. Obecnie Finservice jest częścią dużego, wielobranżowego holdingu, zatrudnia ponad 200 pracowników i aktywnie ekspansuje we wszystkie regiony Rosji.
Jesteśmy twórcą i właścicielem wiodącej na rynku systemu kredytów POS — Poslogic. Platforma jest zintegrowana ze wszystkimi wiodącymi bankami w tym segmencie i pozwala na optymalizację procesów związanych z udzielaniem kredytów konsumpcyjnych, zwiększanie przychodów organizacji handlowych oraz spełnianie wszelkich potrzeb klientów.

Wyszukałem, czym jest kredytowanie POS (informacje z www.banki.ru):

Kredytowanie POS (POS — Punkt Sprzedaży) — to kierunek działalności detalicznej banków, który przewiduje udzielanie kredytów na określone towary bezpośrednio w punktach sprzedaży. Ten biznes uważany jest za dochodowy, ale jednocześnie obarczony dużym ryzykiem. Z reguły takie kredyty charakteryzują się wysokimi stopami procentowymi — powyżej 30%, ale jednocześnie szybkim podjęciem decyzji (do godziny).

Na moje wiadomości e-mail, przez Facebook Messenger i poprzez publiczny post na Facebooku firma w ogóle nie reagowała. E-mail info@finservice.pro, podany na stronie, w ogóle nie działa, a w mediach społecznościowych panuje pustka. Musiałem poszukać na stronie e-maila pracowników i napisać do nich. Odpowiedzi, oczywiście, nie otrzymano...

Jednak 21 marca około godziny 17 (czasu moskiewskiego) baza danych zniknęła z wolnego dostępu. Chciałbym zaznaczyć, że w czasie obserwacji baza była regularnie aktualizowana i uzupełniana nowymi wpisami. Na przykład w ciągu jednego dnia pojawiło się w niej ponad 50 nowych wniosków o kredyty.

W bazie danych znajdowały się:

• Ponad 294 tys. kredytobiorców: imię i nazwisko, miejsce urodzenia, data urodzenia, liczba dzieci, liczba osób na utrzymaniu, panieńskie nazwisko matki, stan cywilny, wykształcenie, numer telefonu komórkowego, numer telefonu stacjonarnego, adres e-mail, adres zameldowania, adres faktycznego miejsca zamieszkania, pełne dane paszportowe.

Wszyscy kredytobiorcy pochodzili z Południowego, Uralowego i Wołżańskiego okręgów federalnych (adresy zamieszkania).

• Ponad 183 tys. danych o kredytach: kwota kredytu, status kredytu, data wydania, identyfikator banku, identyfikator kredytobiorcy, harmonogram spłat kredytu itp.

• Ponad 819 tys. zeskanowanych dokumentów: typ dokumentu, nazwa pliku, link do pliku JPG, status, data itp.

  { 
  "_id" : ObjectId("5c925eb52fc14e00019d1907"), 
  "_type" : "QuestionaryDocumentScan", 
  "doctype" : "pd_agreement", 
  "title" : "Umowa o przetwarzaniu danych osobowych", 
  "filename" : "1.jpg", 
  "status" : NumberInt(0), 
  "status_text" : "Załadowany", 
  "questionary_id" : ObjectId("5c925c8a4624cb000141cfb5"), 
  "sent" : false, 
  "required_resend" : false, 
  "scan" : "5c925eb52fc14e00019d1907.jpg", 
  "updated_at" : ISODate("2019-03-20T15:39:33.591+0000"), 
  "created_at" : ISODate("2019-03-20T15:39:33.591+0000")
  }

• Ponad 246 tys. zdjęć osób, które składały wnioski o kredyty, wykonanych z kamer internetowych w punktach sprzedaży, w formacie JPG.

(twarze zniekształcone dla artykułu)

• Ponad 5 tys. wewnętrznych użytkowników systemu: imię i nazwisko, data urodzenia, login oraz hasło zapisane w postaci skrótu, telefon komórkowy, adresy e-mail w domenach @poslogic.pro i @finservice.pro.

• Ponad 2.5 tys. partnerów (widocznie punkty sprzedaży produktów, na które brano kredyty): nazwa, dane bankowe, adres faktyczny, adres prawny, kontakty itp.

• Ponad 1 tys. produktów kredytowych: nazwa, identyfikator banku, wysokość prowizji itp.

• Bardzo mała (862) „czarna lista” kredytobiorców.

• i bardzo wiele innych informacji zawierających dane osobowe.

Informacje o wyciekach danych i insiderach zawsze można znaleźć na moim kanale Telegram „Wyciek informacji».

Źródło: habr.com