2018 yılında dünya çapında 2263 kamuya açık gizli bilgi sızıntısı vakası kaydedildi. Olayların %86'sında kişisel veriler ve ödeme bilgileri ele geçirildi; bu da yaklaşık 7,3 milyar kullanıcı veri kaydı anlamına geliyor. Japon kripto borsası Coincheck, müşterilerinin çevrimiçi cüzdanlarının ele geçirilmesi sonucunda 534 milyon dolar kaybetti. Bu, bildirilen en büyük hasar miktarıydı.
2019 yılı istatistiklerinin ne olacağı henüz bilinmiyor. Ancak zaten oldukça fazla sansasyonel "sızıntı" var ve bu üzücü. Sene başından bu yana en çok konuşulan sızıntıları incelemeye karar verdik. Dedikleri gibi “Daha fazlası olacak”.
18 Ocak: Koleksiyon üsleri
18 Ocak'ta, kamuya açık alanda bulunan bir veri tabanı hakkında medyada haberler çıkmaya başladı. şifreli posta kutuları (Rusya'daki kullanıcılar dahil). Veritabanı, birkaç yıl boyunca biriken yaklaşık iki bin farklı sitenin sızdırılmış veritabanlarının bir koleksiyonuydu. Bunun için Koleksiyon #1 adını aldı. Boyut açısından tarihteki en büyük ikinci saldırıya uğramış adres veritabanı olduğu ortaya çıktı (ilki, 1 yılında ortaya çıkan 2013 milyar Yahoo! kullanıcısının arşiviydi).
Kısa sürede Koleksiyon #1'in bilgisayar korsanlarının eline geçen veri dizisinin yalnızca bir parçası olduğu anlaşıldı. Bilgi güvenliği uzmanları ayrıca 2'den 5'e kadar numaralandırılmış başka "Koleksiyonlar" da buldu ve bunların toplam hacmi 845 GB oldu. Bazı kullanıcı adları ve şifreler güncel olmasa da veritabanlarındaki bilgilerin neredeyse tamamı günceldir.
Siber güvenlik uzmanı Brian Krebs, arşivleri satan bilgisayar korsanıyla temasa geçti ve Koleksiyon #1'in zaten iki veya üç yıllık olduğunu öğrendi. Bilgisayar korsanına göre, dört terabayttan fazla hacme sahip daha yeni veritabanları da satışa sunuluyor.
11 Şubat: 16 büyük siteden kullanıcı verileri sızdırıldı
The Register'ın 11 Şubat sayısı Dream Market ticaret platformunun 620 milyon büyük İnternet hizmeti kullanıcısının verilerini sattığı:
- Dubsmash (162 milyon)
- MyFitnessPal (151 milyon)
- MyHeritage (92 milyon)
- Bunu Paylaş (41 milyon)
- HauteLook (28 milyon)
- Animoto (25 milyon)
- EyeEm (22 milyon)
- 8fit (20 milyon)
- Beyaz sayfalar (18 milyon)
- Fotolog (16 milyon)
- 500 piksel (15 milyon)
- Zırh Oyunları (11 milyon)
- BookMate (8 milyon)
- CoffeeMeetsBagel (6 milyon)
- Sanatsal (1 milyon)
- DataCamp (700)
Saldırganlar veritabanının tamamı için yaklaşık 20 bin dolar istedi; ayrıca her sitenin veri arşivini ayrı ayrı satın alabileceklerdi.
Tüm siteler farklı zamanlarda saldırıya uğradı. Örneğin, fotoğraf portalı 500px, sızıntının 5 Temmuz 2018'de meydana geldiğini bildirdi, ancak ancak verilerin bulunduğu arşivin ortaya çıkmasından sonra biliniyordu.
Veritabanları e-posta adresleri, kullanıcı adları ve şifreler. Ancak sevindirici bir gerçek var: Şifreler çoğunlukla şu ya da bu şekilde şifreleniyor. Yani, bunları kullanmak için öncelikle verilerin şifresini çözme konusunda kafanızı yormanız gerekir. Şifre basit olsa da tahmin etmek oldukça mümkündür.
25 Şubat: MongoDB veritabanı açığa çıktı
25 Şubat, bilgi güvenliği uzmanı Bob Dyachenko çevrimiçi, 150 milyondan fazla kişisel veri kaydı içeren, güvenli olmayan 800 GB'lık bir MongoDB veritabanı. Arşivde e-posta adresleri, soyadları, cinsiyet ve doğum tarihi bilgileri, telefon numaraları, posta kodları ve adresleri ile IP adresleri yer alıyordu.
Sorunlu veritabanı, e-posta pazarlamasıyla uğraşan Verifications IO LLC'ye aitti. Hizmetlerinden biri kurumsal e-postaları kontrol etmekti. Sorunlu veritabanıyla ilgili bilgiler medyada yer alır almaz şirketin web sitesi ve veritabanının kendisi erişilemez hale geldi. Daha sonra Verifications IO LLC temsilcileri, veritabanının şirketin müşterilerinden gelen verileri içermediğini ve açık kaynaklardan doldurulduğunu belirtti.
10 Mart: Facebook kullanıcı verileri FQuiz ve Supertest uygulamaları aracılığıyla sızdırıldı
The Verge'ın 10 Mart sayısı Facebook'un iki Ukraynalı geliştirici Gleb Sluchevsky ve Andrei Gorbachev'e dava açtığını söyledi. Kullanıcıların kişisel verilerinin çalınmasıyla suçlandılar.
Geliştiriciler testleri yürütmek için uygulamalar oluşturdu. Bu programlar, kullanıcı verilerini toplayan tarayıcı uzantılarını yükledi. 2017-2018 döneminde aralarında FQuiz ve Supertest'in de bulunduğu 63 uygulama yaklaşık XNUMX bin kullanıcının verilerini çalmayı başardı. Çoğunlukla Rusya ve Ukrayna'daki kullanıcılar etkilendi.
21 Mart: Yüz Milyonlarca Facebook Şifresi Şifrelenmemiş
21 Mart'ta gazeteci Brian Krebs şunları bildirdi: Facebook'un uzun süredir milyonlarca şifreyi şifrelenmemiş olarak sakladığını söyledi. Şirketin yaklaşık 20 çalışanı, 200 ila 600 milyon arası Facebook kullanıcısının şifrelerini görüntüleyebiliyordu çünkü şifreler düz metin formatında saklanıyordu. Bazı Instagram şifreleri de bu korumasız veri tabanına dahil edildi. Yakında sosyal ağın kendisi resmen bilgileri.
Facebook'un mühendislik, güvenlik ve gizlilikten sorumlu başkan yardımcısı Pedro Canahuati, şifrelerin şifrelenmemiş olarak saklanmasıyla ilgili sorunun giderildiğini söyledi. Ve genel olarak Facebook giriş sistemleri, şifreleri okunmaz hale getirmek için tasarlanmıştır. Şirket, şifrelenmemiş şifrelere uygunsuz şekilde erişildiğine dair kanıt bulamadı.
21 Mart: Toyota müşteri verileri sızıntısı
Mart ayının sonunda Japon otomobil üreticisi Toyota Bilgisayar korsanlarının 3,1 milyona kadar şirket müşterisinin kişisel verilerini çalmayı başardığı ortaya çıktı. Toyota'nın ticaret bölümlerinin ve beş yan kuruluşunun sistemleri 21 Mart'ta saldırıya uğradı.
Şirket, müşterilerinin hangi kişisel verilerinin çalındığını açıklamadı. Ancak saldırganların banka kartlarına ilişkin bilgilere ulaşamadığını belirtti.
21 Mart: Lipetsk bölgesindeki hastalardan elde edilen verilerin EIS web sitesinde yayınlanması
21 Mart'ta “Hasta Kontrolü” halk hareketinin aktivistleri Lipetsk Bölgesi Sağlık Müdürlüğü'nün EIS internet sitesinde yayınladığı bilgilerde hastaların kişisel verilerinin yer aldığı belirtildi.
Acil tıbbi hizmetlerin sağlanması için hükümetin satın alma web sitesinde çeşitli açık artırmalar yayınlandı: hastaların bölge dışındaki diğer kurumlara nakledilmesi gerekiyordu. Açıklamalarda hastanın soyadı, ev adresi, tanısı, ICD kodu, profili vb. bilgiler yer alıyordu. İnanılmaz bir şekilde, hasta verileri yalnızca geçen yıl içinde en az sekiz kez açık olarak yayınlandı(!).
Lipetsk Bölgesi Sağlık Departmanı başkanı Yuri Shurshukov, bir iç soruşturma başlatıldığını ve verileri yayınlanan hastalardan özür dileneceğini söyledi. Lipetsk bölgesi savcılığı da olayı incelemeye başladı.
04 Nisan: 540 milyon Facebook kullanıcısının veri sızıntısı
Bilgi güvenliği şirketi UpGuard 540 milyondan fazla Facebook kullanıcısının verilerinin kamuya açık hale gelmesiyle ilgili.
Meksika dijital platformu Cultura Colectiva'da sosyal ağ üyelerinin yorum, beğeni ve hesap adlarına sahip gönderileri bulundu. Ve artık kullanılmayan At the Pool uygulamasında isimler, şifreler, e-posta adresleri ve diğer veriler mevcuttu.
10 Nisan: Moskova bölgesindeki ambulans hastalarına ait veriler internete sızdırıldı
Muhtemelen Moskova bölgesindeki acil tıbbi yardım istasyonlarında (EMS). Kolluk kuvvetleri olaya ilişkin ihbarlar üzerine ön soruşturma kontrolüne başladı.
Dosya barındırma hizmetlerinden birinde, Moskova bölgesindeki ambulans çağrıları hakkında bilgi içeren 17,8 GB'lık bir dosya keşfedildi. Belgede ambulansı arayan kişinin adı, irtibat telefon numarası, ekibin çağrıldığı adres, aramanın tarihi ve saati, hatta hastanın durumu bile yer alıyordu. Mytishchi, Dmitrov, Dolgoprudny, Korolev ve Balashikha sakinlerinin verileri tehlikeye girdi. Üssün Ukraynalı bir hacker grubunun aktivistleri tarafından kurulduğu varsayılıyor.
12 Nisan: Merkez Bankası kara listesi
Kara para aklamayı önleme yasası kapsamında Merkez Bankası'nın reddedenlerin kara listesinde yer alan banka müşterilerinin verileri 12 Nisan. Kara Para Aklama ve Terörün Finansmanıyla Mücadele Kanunu (120-FZ) uyarınca hizmet verilmeyen yaklaşık 115 bin müşteriden gelen bilgilerden bahsediyorduk.
Veritabanının çoğunluğu bireylerden ve bireysel girişimcilerden oluşuyor, geri kalanı ise tüzel kişiliklerden oluşuyor. Veritabanında bireyler için tam ad, doğum tarihi, seri ve pasaport numarası bilgileri yer alıyor. Bireysel girişimciler hakkında - tam ad ve INN, şirketler hakkında - ad, INN, OGRN. Bankalardan biri gayri resmi olarak gazetecilere listenin gerçek reddedilen müşterileri içerdiğini itiraf etti. Veritabanı 26 Haziran 2017'den 6 Aralık 2017'ye kadar "reddedenler"i kapsıyor.
15 Nisan: Binlerce Amerikan polisi ve FBI çalışanının kişisel verileri yayınlandı
Bir siber suçlu grubu, ABD Federal Soruşturma Bürosu ile bağlantılı birçok web sitesini hacklemeyi başardı. Ve internette binlerce polis memurunun ve federal ajanın kişisel bilgilerinin yer aldığı düzinelerce dosya yayınladı.
Saldırganlar, kamuya açık açıklardan yararlanarak Quantico'daki (Virginia) FBI Akademisi ile bağlantılı bir derneğin ağ kaynaklarına erişmeyi başardılar. Bu konuda TechCrunch.
Çalınan arşivde ABD kolluk kuvvetlerinin ve federal yetkililerin adları, adresleri, telefon numaraları, e-postaları ve pozisyonlarıyla ilgili bilgiler yer alıyordu. Toplamda yaklaşık 4000 farklı giriş var.
25 Nisan: Docker Hub kullanıcı verileri sızıntısı
Siber suçlular, dünyanın en büyük konteyner görüntü kütüphanesi Docker Hub'ın veritabanına erişim sağlayarak yaklaşık 190 bin kullanıcının verilerinin ele geçirilmesine neden oldu. Veritabanı, otomatik Docker derlemeleri için kullanılan GitHub ve Bitbucket depolarına yönelik kullanıcı adlarını, parola karmalarını ve belirteçleri içeriyordu.
Docker Hub Yönetimi kullanıcılar olayla ilgili olarak 26 Nisan Cuma günü geç saatlerde bilgi aldılar. Resmi bilgilere göre veritabanına izinsiz erişim 25 Nisan'da ortaya çıktı. Olayla ilgili soruşturma henüz tamamlanmadı.
Çok uzun zaman önce olmayan hikayeyi Doc+ ile de hatırlayabilirsiniz. Habré'de tatsız vatandaşların trafik polisine ve FSSP'ye yaptığı ödemeler ve anlattığı diğer sızıntılar .
Sonuç olarak
Devlet kurumları tarafından, sosyal ağlarda ve büyük web sitelerinde saklanan verilerin güvensizliği ve hırsızlığın boyutu dehşet verici. Sızıntıların sıradan hale gelmesi de üzücü. Kişisel verileri ele geçirilen birçok kişinin bundan haberi bile yok. Ve eğer biliyorlarsa kendilerini korumak için hiçbir şey yapmayacaklar.
Kaynak: habr.com