Некоторые эксперты ожидали, что пандемия приведет к резкому росту утечек. Однако, нет. Все как обычно.
Перед вами — очередной выпуск ежемесячного дайджеста наиболее интересных публикаций в мае 2020 г. в Telegram-канале «Утечки информации: авторские статьи про утечки данных. Сливы, интриги, расследования».
Разрешите вас пригласить?
В открытый доступ попал дамп базы пользователей сервиса для планирования и рассылки приглашений evite.com.
Дамп был получен в феврале 2019 г., но сам сервис узнал об инциденте только в апреле 2019 г.
Этот дамп представляет из себя бекап базы сервиса за 2013 г..
В опубликованном архиве размером около 6 Гб содержатся два файла, где:
— 100,961,215 строк (после чистки и удаления дублей) — идентификаторы и адреса электронной почты.
— 36,506,745 строк (после чистки и удаления дублей) — идентификаторы, текстовые пароли, полные имена, даты рождения, пол, номера телефонов, полные адреса, даты модификации профиля и последнего входа в систему (с 10.09.1998 по 11.08.2013).
Около 2 тыс. профилей — пользователи из России.
Очередной слив данных из соцсетей
В очередной раз данные пользователей соцсетей и мессенджера Telegram оказались в свободном доступе.
Система DLBI обнаружила свободно доступный сервер Elasticsearch, в индексах которого содержатся данные собранные парсингом профилей социальных сетей Facebook, Instagram, Twitter, LinkedIn, Google+, а также пользователей Telegram и некоторых блог-платформ.
В частности, собрано записей:
- Telegram — более 114 млн. (всего 1,5 тыс. с телефонами +7)
- Facebook — более 19 млн.
- Instagram — более 212 млн.
- Twitter — более 15 млн.
Напоминаем, что парсинг публичных данных сервиса по сути нельзя назвать утечкой. Однако, подобный сбор данных профилей пользователей, как правило, запрещен лицензионными соглашениями сервисов.
Сервер впервые “засветился” в свободном доступе 29.04.2020.
Принадлежность сервера установить не удалось, но по косвенным признакам мы выяснили, что он связан с Ираном (принадлежит иранскому рекламному агентству, либо агентству работающему по Ирану).
ЖЖ живее всех живых и даже протекает?
В свободном доступе появилась широко известная в узких кругах база данных 33,7 млн. пользователей «Живого Журнала».
Ничего нового и свежего в утекших данных в общем-то нет. Считается, что утечка произошла еще в 2014 году.
Беда в том, что до этого момента базы не было в открытом (публичном) доступе. А теперь ей могут пользоваться все желающие…
В текстовом файле 33,726,800 строк, содержащие:
- идентификатор пользователя
- адрес эл. почты
- ссылка на профиль пользователя
- пароль в текстовом виде
Также мы выяснили, что утечка произошла таки не в 2014, а ранее, в 2012 году — самый “свежий” профиль (50015262) из до сих пор существующих был зарегистрирован 31.05.2012.
Для исследователей интерес представляет даже не сама база с древними учетками (надеемся, что все читающие этот дайджест специалисты не забывают регулярно менять свои пароли) — а качество самой базы.
При анализе базы сразу бросается в глаза наличие в топе популярных паролей, на верхних позициях, довольно странных и относительно сложных (для того, чтобы быть наверху) паролей.
Большинство этих паролей очевидно стоит отнести к массовым автоматическим регистрациям (когда учетные записи создаются ботами). Анализ паролей позволяет отнести к ботам 2 с лишним миллиона профилей — т.е. 6% от всей базы пользователей ЖЖ.
В сотне самых популярных логинов имя «dlyadorveev» встречается во множестве вариантов: dlyadorveev11@rambler.ru (2 место), dlyadorveev19@rambler.ru (4 место), dlyadorveev20@gmail.com (24 место), dlyadorveev12@rambler.ru (71 место). Суммарно они встречаются в базе 49,377 раз.
Имя «fastforwardseo» с 10й позиции топа логинов также явно указывает на цель регистрации профилей.
Увидел — сообщил — устранили. Главное — быстро!
В самом начале апреля система DLBI обнаружила свободно доступный Elasticsearch-сервер, в индексах которого содержались логи онлайн сервиса по поиску исполнителей «YouDo» (youdo.com).
В логах содержались имена, адреса электронной почты и телефоны около 2 тыс. пользователей сервиса, на чьи объявления был отклик исполнителей.
Мы немедленно оповестили сервис и буквально через час (!) доступ к серверу был “тихо” закрыт. Очень хорошая реакция!
Интересно, что данный свободно-доступный сервер не обнаруживался поисковиками BinaryEdge, Shodan и Censys. Его “видел” только ZoomEye.
В пресс-службе YouDo подтвердили эту информацию. «С 4 по 5 апреля на нашем сервисе проводились плановые работы. При переносе системы логирования временно был открыт порт, через который было возможно получить доступ к логам файлов, в которых могли содержаться контактные данные незначительной части пользователей. Среди логов не было данных кредитных карт, паролей и других персональных данных, которые могли бы использоваться для несанкционированного доступа к аккаунтам пользователей. Благодаря своевременной информации от коллег из DLBI данная возможность была закрыта».