Nezaščiten strežnik je enkrat ali dvakrat izlical 24 milijonov občutljivih stanovanjskih dokumentov

Ogromno puščanje stanovanj je bilo izpostavljeno dokumentom kupca

Če živite v ZDA in ste kupili hišo nekje v zadnjem desetletju, bodo morda vaši podatki ogroženi. Po podatkih TechCrunch je bilo izpostavljenih več kot 24 milijonov hipotekarnih in bančnih dokumentov ne enkrat, ampak dvakrat.

Med izpostavljenimi podatki so bile vključene hipotekarne posojilne pogodbe, načrti plačil, telefonske številke posojilojemalcev in drugi občutljivi finančni podatki.

Krivec? En sam nezavarovani strežnik. Če menite, da je to slabo, se poslabša: strežnik poleg tega, da hrani več milijonov občutljivih dokumentov, sploh ni vključil gesla.

Z drugimi besedami, te informacije so bile na voljo vsem, ki so imeli pet sekund, da so odprli svoj brskalnik in vnesli URL.

Pustite dragocenosti v notranjosti z odklenjenimi vhodnimi vrati

Zadevne dokumente je hranila družba Ascension, tretja družba za podatke in analitiko. V javnem spletnem dnevniku je strokovnjak za infosec Bob Diachenko, ki je prvi odkril javni strežnik, izjavil, da je na voljo več kot 24 milijonov zapisov.

V zapisih, ki segajo več kot desetletje nazaj, je shranjenih ogromnih 51 GB OCR (optičnega prepoznavanja znakov). Medtem ko je ta vrsta besedila zlahka berljiva s prostim očesom, jo ​​je mogoče preprosto razčleniti skupaj in razkriti zasebne podrobnosti.

"Te informacije bi bile zlati rudnik kibernetskih kriminalcev, ki bi imeli vse, kar potrebujejo za krajo identitete, vložitev lažnih davčnih obračunov, najem posojil ali kreditnih kartic.", Je zapisal Diachenko.

Posojilodajalci niso vedeli, da obstajajo ti dokumenti

Na izpostavljenem strežniku je bilo več deset tisoč finančnih dokumentov različnih bank in institucij, vključno z Wells Fargo, Capital One, HSBC Life Insurance, CitiFinancial in še več. Medtem ko so bile informacije nekoliko šifrirane, jih je bilo mogoče rekonstruirati razmeroma enostavno - še posebej, če bi človek uporabljal prava orodja.

Toda tu je še nekaj: večina bank se je že izjavila, da nima ničesar povezanosti z Ascension. Pravzaprav je Wells Fargo nadaljeval s trditvijo, da "od leta 2010 ni imel nobenega odnosa s prodajalcem Ascension". HSBC je povedal isto.

To pomeni, da so osebni dokumenti o stanovanju ljudi poskakali iz različnih podjetij in se večkrat zamenjali za roke - v nekaterih primerih ne da bi prvotni finančni posojilo sploh vedel- sčasoma pristanem na spletnem mestu, na katerega so prišli vsi, razen vabljeni.

Dvakrat me prevarite, sram vas je

Izpostavljenost se zdi kot odprt in zaprt primer, kajne? Žal ne. Dan po prvotnem poročilu je Diačenko našel še en nezanesljiv strežnik, v katerem so bile enake datoteke. Ta strežnik še enkrat ni vključil zaklepanja z geslom in še huje je, da so v občutljivem besedilu našteli vse občutljive dokumente.

Spet se poslabša. Datoteke so bile shranjene na strežniku za shranjevanje Amazon S3, ki privzeto omogoča zaščito z geslom. To pomeni, da je stranka (ali stranke), odgovorna za shranjevanje teh osebnih dokumentov, prostovoljno deaktivirala nastavitve zaščite z geslom.

Tako je, da ves svoj denar držite pod vzmetnico, fizično odstranite vhodna vrata in nato odidete na teden dni dopusta!

V redu, če ste mislili, da se lahko s tisto zgodbo o hipotekarnih dokumentih stvari poslabšajo, se motite. Našel sem javno odprto vedro podjetja S3, polno skeniranih dokumentov, ki so bili uporabljeni za OCR => Elasticsearch… @zackwhittaker bo povedal nekaj več

- Bob Diachenko (@MayhemDayOne) 24. januarja 2019

Omeniti velja, da je ta, tako kot prvi predpomnilnik podatkov, vseboval tudi dvostranski W-2 in druge občutljive finančne dokumente. Žal ni mogoče povedati, kako dolgo so bile te informacije izpostavljene ali katere stranke so si jih ogledale.

"Predvideval bi, da bi po takšnem oglaševanju, kakršnega so imeli ti fantje, prva stvar, da preverite, ali je shramba v oblaku prosta ali vsaj zaščitena z geslom," je dejal Diachenko.

Očitno ne.

Ukrepi za zaščito vaših podatkov

Čeprav je povsem mogoče, da ni bila storjena nobena škoda, nikoli ne škodi, da bi bili pripravljeni. Če živite v ZDA in ste kupili hišo v zadnjem desetletju, boste morda potrebovali nekaj minut, da pregledate svoja nedavna kreditna poročila in preverite, ali obstajajo kakšne večje spremembe.

Priporočljivo je tudi omogočanje dvofaktorske avtentikacije na različnih spletnih računih. Z nastavitvijo druge metode prijave se tretje osebe ne bodo mogle prijaviti v različne račune - tudi če imajo vse vaše podatke.

Poleg tega je pomembno še enkrat preveriti vse e-poštne naslove, preden odprete prilogo. Z deli vaših osebnih podatkov so hekerji znani po pošiljanju zlonamernih e-poštnih sporočil, preoblečenih v ugledno podjetje, ki pogosto omenjajo določene podrobnosti (npr. Vaše uporabniško ime, geslo itd.) In nato pozivajo prejemnika, naj ga spremeni (ali potrdi) geslo, odprite prilogo in še več.

Če prejemnika ne poznate - ali če je e-poštno sporočilo samodejno označeno kot sumljivo - je najbolje, da pristopite previdno.

Čeprav je ta zgodba še v fazi razvoja, služi kot previdna zgodba, da vedno omogočite svoje geslo in varnostne nastavitve. Ker ne morete zaupati naključnemu podjetju, da bi zaščitilo svoje osebne podatke, je odvisno od vas, da vzamete svojo zasebnost v svoje roke.

Nezaščiten strežnik je enkrat ali dvakrat izlical 24 milijonov občutljivih stanovanjskih dokumentov
admin Author
Sorry! The Author has not filled his profile.