Återigen hundratusentals betalningar från medborgare till GIBDD och FSSP var offentligt tillgängliga

Kom ihåg att jag skrev på Habré och på min egen Telegram-kanal, hur detaljer om betalningar till GIBDD och FSSP av användare av webbplatser hamnade i öppen tillgång. oplatagibdd.rf, paygibdd.ru, gos-oplata.ru, böter.net och oplata-fssp.ru?

Men skratta inte, det här är verkligen ingen skämt — samma server med data från samma system blev återigen öppen för hela världen.

Nåväl, låt oss börja reda ut …

Opublicerat meddelande: all information nedan publiceras uteslutande i utbildningssyfte. Författaren har inte fått tillgång till personuppgifter om tredje part eller företag. Informationen är hämtad antingen från öppna källor eller har tillhandahållits författaren av anonyma välvilliga källor.

Först lite påminnelse om händelseförloppet:

• Den 12 april 2019 (på natten) upptäcktes en Elasticsearch-server som inte krävde autentisering för anslutning.
• Den 13 april 2019 (på morgonen) skickades en avisering till serverägare.
• Den 13 april 2019 (på dagen) togs servern "tyst" bort från öppen tillgång.

Vid första stängningen av servern såg Elasticsearch-indexen ut så här:

Och den 21 maj 2019 runt klockan 16:00 (MSK) dyker samma Elasticsearch-server, med samma (plus nya) index återigen upp i öppen tillgång:

Jag kunde inte tro mina ögon när jag såg (direkt efter presentationen på PHDays om upptäckten av öppna databaser) en avisering från vår DeviceLock Data Breach Intelligence. Ärligt talat, första tanken var att det var något systemfel.

Men nej, det var inget fel, och efter att jag dubbelkollade allt manuellt, skickade jag kl. 01:25 den 22 maj 2019 återigen en avisering till samma adresser som första gången.

Från den första stängningen skannades denna server av Shodan 11 gånger, och fram till den 21 maj var Elasticsearch på den stängt.

Först den 24 maj 2019 på morgonen försvann denna Elasticsearch från öppen tillgång för andra gången. Under denna tid har indexen ökat ordentligt:

Och om vi tittar på datan (bara betydelsefull information som innehåller personuppgifter om medborgare) i indexen från den 1:a till den 22:a maj, ser bilden ut så här:

• 127,525 poster i indexet paygibdd
• 49,627 poster i indexet shtrafov-net
• 162,282 poster i indexet oplata-fssp
• 220,201 poster i indexet gosoplata

Exempeldata från indexet gosoplata:

Exempeldata från indexet paygibdd:

Och pricken över i:et blev ett brev från en av adresserna som jag skickade aviseringar till:

Vi har mottagit ditt brev om öppet ElasticSearch — tack för informationen, databasen har stängts. Systemadministratören som åter öppnade åtkomsten har blivit avskedad. Juridiska tjänsten förbereder att skicka en anmälan till inrikesministeriet i Republiken Tatarstan om tecken på en brottslig handling av systemadministratören enligt artiklar 272 och 273 i den ryska strafflagen.

Nyheter om dataläckor och visselblåsare kan alltid hittas på min Telegram-kanal «Dataintrång»: https://t.me/dataleak.

Källa: habr.com