Todos os seus empréstimos pessoais e dados pessoais "em um só lugar"...

Continuamos o maratona de vazamentos de bancos de dados russos deixados por seus proprietários em acesso aberto.

Desta vez, foi descoberto um banco de dados MongoDB, que não requer autenticação, com dados pessoais e fotografias de mutuários dos distritos federais do Sul, Ural e Volga e todos os seus pedidos de crédito.

Aviso: todas as informações abaixo são publicadas exclusivamente para fins educacionais. O autor não teve acesso a dados pessoais de terceiros e empresas. As capturas de tela foram retiradas de fontes abertas ou foram fornecidas ao autor por pessoas benevolentes.

O banco de dados, com cerca de 158 GB, continha 74 coleções (collections) e de acordo com o motor de busca BinaryEdge (sobre como descobrir bancos de dados abertos de dados Elasticsearch e MongoDB, escrevi um artigo separado), esteve em acesso livre por pelo menos 11 dias. Com base em evidências indiretas, foi feita uma suposição sobre o possível proprietário do banco de dados: todos (5042) os usuários da coleção

users tinham endereços de e-mail em domínios @poslogic.pro e @ finservice.proe além disso, o endereço IP do banco de dados diferia apenas em 1 do endereço IP do site www.finservice.pro No site.

está escrito: No site A empresa Finservice atua desde 2012 e é um dos principais corretores financeiros independentes no setor de crédito POS no mercado da Rússia. Atualmente, a Finservice faz parte de um grande conglomerado multifuncional, conta com mais de 200 funcionários e está realizando uma expanção ativa em todas as regiões da Rússia.

Somos os desenvolvedores e detentores dos direitos da principal plataforma de crédito POS no mercado — Poslogic. A plataforma está integrada com todos os bancos líderes nesse segmento e permite otimizar os processos relacionados à concessão de empréstimos pessoais, aumentar a receita das organizações comerciais e atender a quaisquer demandas dos clientes.
Pesquisei o que é crédito POS (informação de

www.banki.ru www.banki.ru):

Financiamento POS (POS — Ponto de Venda) é uma vertente do negócios de varejo dos bancos, que envolve a concessão de créditos para determinados produtos diretamente nos pontos de venda. Este negócio é considerado de alta rentabilidade, mas também de alto risco. Geralmente, esses créditos têm altas taxas de juros—mais de 30%—mas, ao mesmo tempo, uma rápida aceitação da decisão (em até uma hora).

A empresa não respondeu às minhas mensagens por e-mail, pelo Facebook Messenger ou por um post público no Facebook. E-mail info@finservice.pro, informado no site, não funciona de maneira alguma e as redes sociais estão abandonadas. Tive que procurar no site o e-mail dos funcionários e escrever para ele. Claro, não recebi nenhuma resposta…

No entanto, no dia 21 de março, por volta das 17 horas (horário de Moscovo), o banco de dados desapareceu do acesso público. Quero notar separadamente que durante o período de observação, o banco de dados foi constantemente atualizado e complementado com novos registros. Por exemplo, em um único dia, mais de 50 novas solicitações de crédito foram adicionadas a ele.

O banco de dados continha:

• Mais de 294 mil mutuários: nome completo, local de nascimento, data de nascimento, número de filhos, número de dependentes, sobrenome de solteira da mãe, estado civil, nível de escolaridade, número de telefone celular, número de telefone fixo, endereço de e-mail, endereço de registro, endereço de residência atual, dados completos do passaporte.

Todos os mutuários eram das regiões federais do Sul, Ural e Volga (endereços de residência).

• Mais de 183 mil dados de créditos: valor do crédito, status do crédito, data de concessão, identificador do banco, identificador do mutuário, cronograma de pagamentos do crédito, etc.

• Mais de 819 mil documentos digitalizados: tipo de documento, nome do arquivo, link para o arquivo JPG, status, data, etc.

  { 
  "_id" : ObjectId("5c925eb52fc14e00019d1907"), 
  "_type" : "QuestionaryDocumentScan", 
  "doctype" : "pd_agreement", 
  "title" : "Acordo de Tratamento de Dados Pessoais", 
  "filename" : "1.jpg", 
  "status" : NumberInt(0), 
  "status_text" : "Carregado", 
  "questionary_id" : ObjectId("5c925c8a4624cb000141cfb5"), 
  "sent" : false, 
  "required_resend" : false, 
  "scan" : "5c925eb52fc14e00019d1907.jpg", 
  "updated_at" : ISODate("2019-03-20T15:39:33.591+0000"), 
  "created_at" : ISODate("2019-03-20T15:39:33.591+0000")
  }

• Mais de 246 mil fotografias de pessoas que solicitaram créditos, tiradas com webcams em pontos de venda, no formato JPG.

(rostos distorcidos para o artigo)

• Mais de 5 mil usuários internos do sistema: Nome completo, data de nascimento, login e senha criptografada, telefone celular, endereços de e-mail nos domínios e @ e @finservice.pro.

• Mais de 2.5 mil parceiros (pontos de venda de produtos para os quais foram obtidos empréstimos): nome, dados bancários, endereço real, endereço legal, contatos, etc.

• Mais de 1 mil produtos de crédito: nome, identificador do banco, taxa de comissão, etc.

• Uma lista muito pequena (862) de «devedores».

• e muitas outras informações contendo dados pessoais.

Notícias sobre vazamentos de informações e insiders sempre podem ser encontradas no meu canal do Telegram «Vazamentos de informações».

Fonte: habr.com