⚡️Ушли из базы: в Сеть утекли 14 млн записей компаний и покупателей.
Компания «Дримкас» на три дня случайно открыла конфиденциальную информацию о клиентах, включая физических лиц

Около 14 млн записей о юридических и физических лицах, включая информацию о покупках и уплаченных налогах, попали в открытый доступ.

Утечка впервые произошла через одного из операторов фискальных данных (ОФД). Сведения могут быть использованы для маркетинговых акций, включая холодные звонки частным лицам, считают эксперты.

Что произошло

Сервер ОФД «Дримкас» стал общедоступным 9 сентября и пробыл в таком состоянии три дня. На нем хранятся журналы с более 14 млн записей. Об уязвимости сообщили «Известиям» в компании по кибербезопасности DeviceLock.

Утекли строки с информацией — начиная от безобидных ИНН, адреса, названия компании и заканчивая информацией об электронных адресах и телефонах представителей, а также заключенных сделках, ассортименте и ценах товара.

Также в Сеть попали телефоны и e-mail 3 тыс. физических лиц — пользователей скидочной программы «Покупай-ка».

«Известия» позвонили по нескольким попавшим в открытый доступ номерам и выяснили, что телефоны действительно принадлежат клиентам ОФД «Дримкас». В одной из записей, например, видно, что клиент купил бутылку водки на кедровых орехах и 150 г сыра.

В компании объяснили утечку атаками на серверы, происходившими с начала сентября.

Контур защиты на одном из них пострадал, проблема устранена, пояснил гендиректор «Дримкас» Павел Толстоносов.

— Проводится дополнительный аудит и модернизация системы безопасности, — сказал «Известиям» гендиректор.

Эксперты по кибербезопасности сомневаются в корректности этого объяснения.

— Версия с атакой серверов звучит неправдоподобно, — объяснил «Известиям» основатель и технический директор DeviceLock Ашот Оганесян.

— Нас уведомили об атаках на серверы ОФД «Дримкас». Информация о возможной утечке проверяется. Если она подтвердится, компании грозит штраф от 500 тыс. до 1 млн рублей, — сообщили в пресс-службе ФНС.

ФСБ и Федеральная служба по техническому и экспортному контролю (ФСТЭК) не ответили на запрос «Известий».

Для хранения информации «Дримкас» использует систему управления базами данных (СУБД) Elasticsearch, сообщили «Известиям» в DeviceLock.

Доступ к ним часто остается открытым из-за ошибок айтишников. Они просто забывают поставить галочки в нужных местах, рассказал «Известиям» замгендиректора компании по защите от утечек данных Zecurion Александр Ковалев.

Киберпреступники делятся утекшими базами на специальных ресурсах, пояснил аналитик информационной безопасности компании Positive Technologies Вадим Соловьев. Злоумышленнику не нужно обладать глубокими знаниями, достаточно воспользоваться специализированными системами поиска. Оттуда скачивают конфиденциальную информацию, которую не защитили должным образом, поясняет антивирусный эксперт «Лаборатории Касперского» Денис Легезо.

Чем грозит

Собираемая ОФД информация потенциально позволяет третьему лицу проанализировать поведение покупателей и предлагать им рекламу. «Дримкас» не продает данные своих клиентов. Но теперь они стали доступными бесплатно на три дня, включая ассортимент и цены.

Что касается физических лиц, а также представителей компаний, по закону персональными данными считается любая информация о гражданине, рассказала «Известиям» партнер коллегии адвокатов Pen & Paper Екатерина Тягай.

За утечку предусмотрен административный штраф до 75 тыс. рублей, а максимальная уголовная ответственность составляет лишение свободы до пяти лет. Также пострадавший может взыскать убытки, причиненные из-за нарушения правил обработки персональных данных, добавила Екатерина Тягай.

Ранее «Известия» сообщали о случае получения данных из ОФД третьей стороной. Сведения о покупках в магазинах, в том числе электронных, затем утекают в неизвестном направлении. Они могут быть использованы для анализа предпочтений покупателей и конкурентной разведки.

#дримкас #офд #утечка
@ofd24

кроме темы инфосека мне интересна еще тема велосипедов. Тот редкий случай, когда два в одном: хакеры взломали систему "умных" станков для велосипеда, и научились подменять данные, которые передаются со станка в систему. сидишь, ничего не делаешь, а тебе засчитывают киловатты жима педалей. красота.

https://www.bicycling.com/news/a28912281/zwift-hacking/

открытые MongoDB, являющиеся частью GootKit сети — банковского трояна. адреса имейлов, пароли, логины, все как обычно. забавно, что базу оставили открытой, видимо, как раз участники группы. https://securitydiscovery.com/banking-trojan-database-exposed-millions-of-users-at-risk/

а вот еще про открытые сервера. сотни серверов с фото рентгенов и МРТ, с простыми паролями или вообще без них. заходи кто хочешь, смотри что хочешь.

както кто-то из читателей спросил у меня "вот ты пишешь про эти все ужасы, а что с этим всем нам делать?". да вот хрен его знает. отвечать за все миллионы кривых рук админов, которые настраивают все эти системы, не думая вообще о том, что будет происходить с персональными данными — непонятно как. теоретически какой-нибудь GDPR мог бы применяться за подобную халатность, но в Штатах и его даже нет. нужно от всех требовать некую сертификацию, единый стандарт "безопасности хранения данных". Но это больше похоже на сизифов труд.

https://www.propublica.org/article/millions-of-americans-medical-images-and-data-are-available-on-the-internet

Я тут пару дней назад писал про SIM Jacker, возможную уязвимость в ПО SIM-карт, позволяющую заражать смартфоны вне зависимости от платформы.
https://t.me/alexmakus/3048

Пока технических деталей нет, но вот два интересных треда в твиттере, которые высказывают сомнения в том, что проблема имеет место быть, и в тех масштабах, о которых о ней говорят
тред 1 https://twitter.com/VessOnSecurity/status/1173625466894393344

тред 2 https://twitter.com/sawaba/status/1173828001848541186

если вы пользуетесь менеджером паролей LastPass, там надо бы до последней версии обновиться, где исправлена бага, позволявшая сайтам подцепить последний использованный пароль. LastPass 4.33.0 или более поздняя — ок.
https://bugs.chromium.org/p/project-zero/issues/detail?id=1930

ОГОГО. Короче, похоже, сотрудник Nokia Networks тут сильно лоханулся. Он подключил диск к компьютеру, а диск, в связи с неправильной конфигурацией, стал доступен в интернет без какой-либо аутентификации.

Один маленький нюанс: это был диск, на котором хранилась информация о том, как работает СОРМ у мобильного оператора МТС. На диске также была информация о том, как власти России получают доступ к звонкам, сообщениям и другой информации клиентов мобильного оператора. Эксперты получили доступ к диску, скачали с него информацию, а также проинформировали сотрудника Nokia Networks о том, что почти 2 ТБ данных торчат в интернет голой жопой.

Планы размещения коробочек СОРМ, фотографии самих устройств, информация о том, как устройства Malvin Systems перехватывают данные абонентов, всякие схемы подключения устройств, и много всего другого интересного. Красота.
https://www.upguard.com/breaches/mts-nokia-telecom-inventory-data-exposure#/security-lapse-russia/

целых три страницы рекламы Google о безопасности личных данных в сегодняшнем Washington Post. Наверно, это важно.

Без комментариев
https://news.yahoo.com/exclusive-russia-carried-out-a-stunning-breach-of-fbi-communications-system-escalating-the-spy-game-on-us-soil-090024212.html?soc_src=hl-viewer&soc_trk=tw

По материалам об утечке данных
https://t.me/alexmakus/3049

есть также опровержение (спасибо читателю канала)

https://www.kommersant.ru/amp/4095088

Оставлю вам на выходные большое исследование «британских ученых» различных IoT устройств. В рамках изучения исследователи посмотрели на десятки смарт-телевизоров, спикеров, видеозвонков от компаний Google, Roku, Amazon и других. Цель исследования —понять, какие данные собирают эти устройства о пользователях, и с кем разработчики этих систем делятся собранными данными. Результаты, как вы понимаете, неутешительные (иначе материала бы не было в этом канале): IP-адреса, информация об устройствах, паттерны использования, информация о геолокации и др. - все это попадает в руки создателей гаджетов и расползается по сторонним компаниям.
Традиционный вопрос: а что с этим всем знанием делать? как минимум, проводить изучение продуктов перед покупкой, выбирать устройства без обязательного подключения к интернету или требований создавать аккаунты. минимизировать покупку устройств с камерами и микрофонами. И,самое главное, НИКАКОГО ИНТЕРНЕТА!

https://moniotrlab.ccis.neu.edu/wp-content/uploads/2019/09/ren-imc19.pdf

кстати, несмотря на всякие там опровержения, тут опять пишут про очередную утечку у Дримкас, теперь уже на 76 млн записей (речь, как я понимаю, об информации о физических и юридических лицах, включая персональные данные, данные о покупках, и об уплаченных налогах). Я, правда, не нашел первоисточника, поэтому извините, если кого-то обидит ссылка на Известия
https://iz.ru/924297/2019-09-23/v-set-utekli-fiskalnye-dannye-eshche-76-mln-rossiian

Знаете, что полезно сделать с утра? пойти и поставить обновления Microsoft. пропатченые zero-day (RCE в IE) и denial of service в Windows Defender. от Win 7 до Win 10

https://portal.msrc.microsoft.com/en-US/security-guidance/advisory/CVE-2019-1367

инфоопасносте везде. Например, принтеры HP отправляют на родину информацию о количестве напечатанных страниц, режимах печати, информацию о чернилах или тонере, о файлах, которые печатаются, о приложениях, из которых идет печать, время печати. Также информацию о самом устройстве, часовой пояс, какие-то UUID и другую техническую информацию. Все это описано в лицензионном соглашении, и отдельно указано, что сами распечатываемые данные в эту аналитику не попадают. Осадок, традиционно, остается.

https://robertheaton.com/2019/09/15/hp-printers-send-data-on-what-you-print-back-to-hp/

если вы мечтали позвламывать спутники, ваш час настал
https://www.nextgov.com/cybersecurity/2019/09/nsa-running-satellite-hacking-experiment/160057/

на прошлой неделе Apple выпустила апдейт iOS 13 для iPhone, на этой неделе уже вышел апдейт iOS 13.1 для iPhone и iPad, и все равно в релизы просочилась неприятная бага. Сторонние клавиатуры, как пишет Apple, в новых версиях системы могут получить "полный доступ" к iPhone, как пишет Apple в своем документе. Если я правильно понимаю, то "полный доступ" в этом случае означает возможность этим клавиатурам анализировать набираемый текст, даже если эти клавиатуры отключены в настройках. Так что если вы опасаетесь подслушивающих клавиатур, то временно их лучше удалить. Исправить это Apple обещает в следующем обновлении. (куда наверняка добавят еще каких-нибудь веселых багов, как же без них).

https://support.apple.com/en-us/HT210613?/en-us/advisory

вот интересный отчет об изучении российских APT-группировок.

практически цитата из отчета: "русские группировки, спонсируемые государством, редко делятся кодом друг с другом, а когда делятся, то это происходит в рамках групп, управляемых одним разведывательным ведомством".

https://research.checkpoint.com/russianaptecosystem/

еще там есть красивая визуализация карты
https://apt-ecosystem.com/russia/map/