Všetky vaše pôžičky a osobné údaje „na jednom mieste“…

Pokračujeme v maratóne únikov z ruských databáz, ktoré ich vlastníci zanechali vo voľnom prístupe.

Tentoraz bola objavená databáza MongoDB, ktorá nevyžaduje autentifikáciu, so osobnými údajmi a fotografiami dlžníkov z Južného, Uralského a Prívolžského federálneho okruhu, ako aj všetkými ich žiadosťami o úvery.

Disklajmer: všetky informácie uvedené nižšie sú zverejnené výhradne na vzdelávacie účely. Autor nedostal prístup k osobným údajom tretích osôb a spoločností. Snímky obrazovky boli získané buď z verejných zdrojov, alebo boli poskytnuté autorovi dobrými ľuďmi.

Databáza s veľkosťou približne 158 GB obsahovala 74 kolekcií (collections) a podľa údajov vyhľadávača BinaryEdge (o tom, ako objavujú otvorené databázy údajov Elasticsearch a MongoDB, som písal samostatný článok), bola vo voľnom prístupe najmenej 11 dní.

Na základe nepriamych indícií bolo vytvorené predpokladané domnienka o možnom majiteľovi databázy: všetci (5042) používatelia z kolekcie users mali e-mailové adresy na doménach @poslogic.pro a @finservice.pro a navyše IP adresa databázy sa líšila iba o 1 od IP adresy webu www.finservice.pro.

Na stránke www.finservice.pro napísané:

Spoločnosť Finservice vykonáva svoju činnosť od roku 2012 a je popredným nezávislým finančným maklérom v oblasti POS financovania na trhu Ruska. V súčasnosti je Finservice súčasťou veľkého mnohostranného holdingu, zamestnáva viac ako 200 zamestnancov a aktívne expanduje do všetkých regiónov Ruska.
Sme vývojárom a vlastníkom vedúcej platformy na trhu POS financovania – Poslogic. Platforma je integrovaná so všetkými vedúcimi bankami v tomto segmente a umožňuje optimalizovať procesy spojené s poskytovaním spotrebiteľských úverov, zvyšovať tržby obchodných organizácií a uspokojovať akékoľvek požiadavky zákazníkov.

Hľadal som, čo je to POS financovanie (informácie z www.banki.ru):

POS financovanie (POS – Point Of Sale) – smerovanie maloobchodného podnikania bánk, ktoré zahŕňa poskytovanie úverov na konkrétne tovary priamo na predajných miestach. Tento biznis sa považuje za vysoko ziskový, ale zároveň aj vysoce rizikový. Zvyčajne sú takéto úvery charakterizované vysokými úrokovými sadzbami – viac ako 30%, avšak rýchlym prijatím rozhodnutia (do hodiny).

Na moje e-maily, prostredníctvom Facebook Messengeru, cez verejný príspevok na Facebooku spoločnosť nereagovala. Pošta info@finservice.pro, uvedená na stránke, vôbec nefungovala, v sociálnych sieťach panuje opustenosť. Musel som hľadať na stránke e-mail zamestnancov a napísať naň. Nijaká odpoveď, samozrejme, nenastala…

Avšak 21. marca okolo 5 hodiny večer (podľa Moskvy) databáza zmizla z voľného prístupu. Osobitne chcem zdôrazniť, že počas pozorovania sa databáza neustále aktualizovala a dopĺňala novými záznami. Napríklad za jeden deň sa v nej objavilo viac ako 50 nových žiadostí o úvery.

V databáze sa nachádzalo:

• Viac ako 294 tis. dlžníkov: meno a priezvisko, miesto narodenia, dátum narodenia, počet detí, počet vyživovaných osôb, dievčenské priezvisko matky, je ženatý alebo nie, vzdelanie, číslo mobilného telefónu, číslo pevných telefónov, e-mailová adresa, adresa trvalého pobytu, adresa skutočného miesta bydliska, úplné údaje z pasu.

Všetci dlžníci boli z Južného, Uralu a Volžského federálneho okresu (adresy bydliska).

• Viac ako 183 tis. údajov o úveroch: výška úveru, stav úveru, dátum poskytnutia, identifikátor banky, identifikátor dlžníka, splátkový kalendár úveru a pod.

• Viac ako 819 tis. nascanovaných dokumentov: typ dokumentu, názov súboru, odkaz na JPG súbor, stav, dátum a pod.

  { 
  "_id" : ObjectId("5c925eb52fc14e00019d1907"), 
  "_type" : "QuestionaryDocumentScan", 
  "doctype" : "pd_agreement", 
  "title" : "Dohoda o spracovaní osobných údajov", 
  "filename" : "1.jpg", 
  "status" : NumberInt(0), 
  "status_text" : "Načítané", 
  "questionary_id" : ObjectId("5c925c8a4624cb000141cfb5"), 
  "sent" : false, 
  "required_resend" : false, 
  "scan" : "5c925eb52fc14e00019d1907.jpg", 
  "updated_at" : ISODate("2019-03-20T15:39:33.591+0000"), 
  "created_at" : ISODate("2019-03-20T15:39:33.591+0000")
  }

• Viac ako 246 tis. fotografií ľudí, ktorí podali žiadosti o úvery, vyhotovených z webových kamier v predajných miestach, vo formáte JPG.

(tváre sú skreslené pre článok)

• Viac ako 5 tis. interných používateľov systému: meno a priezvisko, dátum narodenia, prihlasovacie meno a hashované heslo, mobilný telefón, e-mailové adresy na doménach @poslogic.pro a @finservice.pro.

• Viac ako 2.5 tis. partnerov (zrejme predajných miest, na ktoré sa brali úvery): názov, bankové údaje, skutočná adresa, právna adresa, kontakty a pod.

• Viac ako 1 tis. úverových produktov: názov, identifikátor banky, výška provízie a pod.

• Úplne malý (862) „čierny zoznam“ dlžníkov.

• a veľmi veľa ďalších informácií, ktoré obsahujú osobné údaje.

Novinky o únikoch informácií a insideroch nájdete vždy na mojom Telegram kanáli „Úniky informácií».

Zdroj: habr.com