Em 2018, foram registrados 2263 casos públicos de vazamento de informações confidenciais em todo o mundo. Dados pessoais e informações de pagamento foram comprometidos em 86% dos incidentes – ou seja, cerca de 7,3 bilhões de registros de dados de usuários. A exchange cripto japonesa Coincheck perdeu US$ 534 milhões como resultado do comprometimento das carteiras online de seus clientes. Este foi o maior dano relatado.
Ainda não se sabe quais serão as estatísticas para 2019. Mas já existem muitos “vazamentos” sensacionais, e isso é triste. Decidimos revisar os vazamentos mais discutidos desde o início do ano. “Haverá mais”, como dizem.
18 de janeiro: bases de coleta
Em 18 de janeiro, começaram a aparecer reportagens na mídia sobre um banco de dados encontrado em domínio público em caixas de correio com senhas (incluindo usuários da Rússia). O banco de dados era uma coleção de bancos de dados vazados de cerca de dois mil sites diferentes, acumulados ao longo de vários anos. Pelo que recebeu o nome de Coleção #1. Em termos de tamanho, acabou sendo o segundo maior banco de dados de endereços hackeados da história (o primeiro foi o arquivo de 1 bilhão de usuários do Yahoo!, que apareceu em 2013).
Logo ficou claro que a Coleção nº 1 era apenas parte do conjunto de dados que acabou nas mãos de hackers. Especialistas em segurança da informação também encontraram outras “Coleções” numeradas de 2 a 5, e seu volume total foi de 845 GB. Quase todas as informações dos bancos de dados estão atualizadas, embora alguns logins e senhas estejam desatualizados.
O especialista em segurança cibernética Brian Krebs contatou o hacker que estava vendendo os arquivos e descobriu que a Coleção nº 1 já tinha cerca de dois ou três anos. Segundo o hacker, ele também tem à venda bancos de dados mais recentes com volume superior a quatro terabytes.
11 de fevereiro: vazamento de dados de usuários de 16 grandes sites
Edição de 11 de fevereiro do The Register que a plataforma de negociação Dream Market vende os dados de 620 milhões de usuários dos principais serviços da Internet:
- Dubsmash (162 milhões)
- MyFitnessPal (151 milhões)
- MyHeritage (92 milhões)
- Compartilhe isto (41 milhões)
- HauteLook (28 milhões)
- Animoto (25 milhões)
- EyeEm (22 milhões)
- 8fit (20 milhões)
- Páginas brancas (18 milhões)
- Fotolog (16 milhões)
- 500px (15 milhões)
- Jogos de armadura (11 milhões)
- BookMate (8 milhões)
- CoffeeMeetsBagel (6 milhões)
- Artístico (1 milhão)
- DataCamp (700)
Os invasores pediram cerca de US$ 20 mil pelo banco de dados inteiro; eles também poderiam comprar o arquivo de dados de cada site separadamente.
Todos os sites foram hackeados em momentos diferentes. Por exemplo, o portal de fotos 500px informou que o vazamento ocorreu em 5 de julho de 2018, mas só ficou conhecido após o surgimento de um arquivo com os dados.
Bases de dados endereços de e-mail, nomes de usuário e senhas. No entanto, há um fato alegre: a maioria das senhas é criptografada de uma forma ou de outra. Ou seja, para usá-los, primeiro você precisa quebrar a cabeça para descriptografar os dados. Embora, se a senha for simples, é bem possível adivinhá-la.
25 de fevereiro: banco de dados MongoDB exposto
25 de fevereiro, especialista em segurança da informação Bob Dyachenko online, um banco de dados MongoDB inseguro de 150 GB contendo mais de 800 milhões de registros de dados pessoais. O arquivo continha endereços de e-mail, sobrenomes, informações sobre sexo e data de nascimento, números de telefone, códigos postais e endereços e endereços IP.
O banco de dados problemático pertencia à Verifications IO LLC, que atuava em marketing por email. Um de seus serviços era a verificação de e-mails corporativos. Assim que as informações sobre a base de dados problemática apareceram na mídia, o site da empresa e a própria base de dados tornaram-se inacessíveis. Posteriormente, representantes da Verifications IO LLC afirmaram que o banco de dados não continha dados dos clientes da empresa e foi reabastecido a partir de fontes abertas.
10 de março: dados de usuários do Facebook vazaram por meio dos aplicativos FQuiz e Supertest
Edição de 10 de março do The Verge que o Facebook entrou com uma ação judicial contra dois desenvolvedores ucranianos, Gleb Sluchevsky e Andrei Gorbachev. Eles foram acusados de roubo de dados pessoais dos usuários.
Os desenvolvedores criaram aplicativos para realizar testes. Esses programas instalaram extensões de navegador que coletaram dados do usuário. Durante 2017-2018, quatro aplicativos, incluindo FQuiz e Supertest, conseguiram roubar dados de aproximadamente 63 mil usuários. Principalmente usuários da Rússia e da Ucrânia foram afetados.
21 de março: Centenas de milhões de senhas do Facebook descriptografadas
Em 21 de março, o jornalista Brian Krebs relatou que o Facebook armazenava milhões de senhas não criptografadas há muito tempo. Os cerca de 20 mil funcionários da empresa podiam visualizar as senhas de 200 a 600 milhões de usuários do Facebook porque elas estavam armazenadas em formato de texto simples. Algumas senhas do Instagram também foram incluídas neste banco de dados desprotegido. Em breve a própria rede social irá oficialmente informação.
Pedro Canahuati, vice-presidente de engenharia, segurança e privacidade do Facebook, disse que o problema de armazenamento de senhas não criptografadas foi corrigido. E, em geral, os sistemas de login do Facebook são projetados para tornar as senhas ilegíveis. A empresa não encontrou evidências de que as senhas não criptografadas tenham sido acessadas indevidamente.
21 de março: vazamento de dados de clientes da Toyota
No final de março, a montadora japonesa Toyota que hackers conseguiram roubar dados pessoais de até 3,1 milhões de clientes da empresa. Os sistemas das divisões comerciais da Toyota e de cinco subsidiárias foram hackeados em 21 de março.
A empresa não divulgou quais dados pessoais dos clientes foram roubados. No entanto, ela afirmou que os agressores não tiveram acesso às informações sobre cartões bancários.
21 de março: publicação de dados de pacientes da região de Lipetsk no site do EIS
No dia 21 de março, ativistas do movimento público “Controle de Pacientes” que nas informações publicadas pelo Departamento de Saúde da Região de Lipetsk no site do EIS, foram fornecidos dados pessoais dos pacientes.
Vários leilões foram publicados no site de compras governamentais para a prestação de serviços médicos de emergência: os pacientes tiveram que ser transferidos para outras instituições fora da região. As descrições continham informações sobre sobrenome do paciente, endereço residencial, diagnóstico, código CID, perfil, etc. Incrivelmente, os dados dos pacientes foram publicados abertamente pelo menos oito vezes só no ano passado (!).
O chefe do Departamento de Saúde da Região de Lipetsk, Yuri Shurshukov, disse que foi lançada uma investigação interna e que seria feito um pedido de desculpas aos pacientes cujos dados foram publicados. A promotoria da região de Lipetsk também começou a verificar o incidente.
04 de abril: Vazamento de dados de 540 milhões de usuários do Facebook
Empresa de segurança da informação UpGuard sobre os dados de mais de 540 milhões de usuários do Facebook se tornarem disponíveis publicamente.
Postagens de membros da rede social com comentários, curtidas e nomes de contas foram encontradas na plataforma digital mexicana Cultura Colectiva. E no extinto aplicativo At the Pool, nomes, senhas, endereços de e-mail e outros dados estavam disponíveis.
10 de abril: dados de pacientes de ambulância da região de Moscou vazaram online
Nos postos de atendimento médico de emergência (EMS) na região de Moscou, presumivelmente. As agências de aplicação da lei iniciaram uma verificação pré-investigação dos relatos do incidente.
Um arquivo de 17,8 GB contendo informações sobre chamadas de ambulância na região de Moscou foi descoberto em um dos serviços de hospedagem de arquivos. O documento continha o nome de quem chamou a ambulância, telefone para contato, endereço para onde a equipe foi chamada, data e horário da ligação, até mesmo o estado do paciente. Os dados dos residentes de Mytishchi, Dmitrov, Dolgoprudny, Korolev e Balashikha foram comprometidos. Presume-se que a base foi construída por ativistas de um grupo de hackers ucraniano.
12 de abril: lista negra do Banco Central
Dados de clientes bancários da lista negra de recusados do Banco Central sob a lei de combate à lavagem de dinheiro 12 de abril. Estávamos a falar de informações de cerca de 120 mil clientes aos quais foi negado o atendimento nos termos da lei de combate ao branqueamento de capitais e ao financiamento do terrorismo (115-FZ).
A maior parte da base de dados é composta por pessoas físicas e empreendedores individuais, o restante são pessoas jurídicas. Para pessoas físicas, o banco de dados contém informações sobre nome completo, data de nascimento, série e número do passaporte. Sobre empreendedores individuais - nome completo e TIN, sobre empresas - nome, TIN, OGRN. Um dos bancos admitiu extraoficialmente aos jornalistas que a lista incluía clientes reais rejeitados. O banco de dados abrange “refuseniks” de 26 de junho de 2017 a 6 de dezembro de 2017.
15 de abril: Dados pessoais de milhares de policiais americanos e funcionários do FBI publicados
Um grupo cibercriminoso conseguiu hackear vários sites associados ao Federal Bureau of Investigation dos EUA. E ela postou na internet dezenas de arquivos com informações pessoais de milhares de policiais e agentes federais.
Usando exploits disponíveis publicamente, os invasores conseguiram obter acesso aos recursos de rede de uma associação associada à Academia do FBI em Quantico (Virgínia). Sobre isso TechCrunch.
O arquivo roubado continha os nomes de autoridades policiais e federais dos EUA, seus endereços, números de telefone, informações sobre seus e-mails e posições. Existem cerca de 4000 entradas diferentes no total.
25 de abril: vazamento de dados do usuário do Docker Hub
Os cibercriminosos obtiveram acesso ao banco de dados da maior biblioteca de imagens de contêineres do mundo, o Docker Hub, resultando no comprometimento dos dados de aproximadamente 190 mil usuários. O banco de dados continha nomes de usuário, hashes de senha e tokens para repositórios GitHub e Bitbucket usados para compilações automatizadas do Docker.
Administração do Docker Hub usuários sobre o incidente na noite de sexta-feira, 26 de abril. Segundo informações oficiais, o acesso não autorizado ao banco de dados foi conhecido no dia 25 de abril. A investigação do incidente ainda não foi concluída.
Você também pode se lembrar da história do Doc+, que não foi há muito tempo em Habré, desagradável com pagamentos de cidadãos à polícia de trânsito e ao FSSP e outros vazamentos que ele descreve .
Como conclusão
A insegurança dos dados armazenados por agências governamentais, nas redes sociais e em grandes sites, bem como a escala do roubo, é assustadora. Também é triste que os vazamentos tenham se tornado comuns. Muitas pessoas cujos dados pessoais foram comprometidos nem sequer sabem disso. E se souberem, não farão nada para se proteger.
Fonte: habr.com