Hesabat: Böyük Britaniyanın Müşavirləri və Firmalarının 1000’i böyük məlumat sızmasına məruz qaldı

Noam Rotem və Ran Locarın rəhbərliyi ilə vpnMentorun tədqiqat qrupu bu yaxınlarda kəşf etdi; Bir neçə İngilis konsaltinq firmasının yüksək həssas sənədləri olan bir verilənlər bazasında bir pozuntu.

Müvafiq kadrlar şöbələrinə, güzəşt edilmiş sənədlərə aiddir 1000 İngilis mütəxəssisi ilə birlikdə firmalara aid ətraflı həssas məlumatları ifşa etdi.

Bu məlumat bazası cinayətkar hakerlər tərəfindən aşkar edilsəydi, ola bilərdi məruz qalanların təhlükəsizliyi və məxfiliyi üçün ciddi nəticələr.

Aşkaretmə və Sahibin reaksiya qrafiki

Bəzən bir məlumat pozuntusunun dərəcəsi və məlumatların sahibi bəllidir və məsələ tez həll olunur. Ancaq bu nadir hallarda olur.

Tez-tez, nəyin baş verdiyini və ya məlumatları kimin sızdığını anlamazdan əvvəl araşdırma günlərinə ehtiyac duyuruq. Bir pozuntu və bunun mümkün təsirini anlamaq diqqətli vaxt və vaxt tələb edir.

Dəqiq və etibarlı hesabatlar dərc etmək üçün çox çalışırıq, onları oxuyanların hamısının ciddiliyini başa düşmələrini təmin edirik. Təsirə məruz qalan bəzi müəssisələr araşdırmamıza məhəl qoymur, faktları rədd edir və ya təsirini aşağı salır.

Beləliklə, diqqətli olmalı və təqdim etdiyimiz hər şeyin doğru və doğru olduğuna əmin olmalıyıq.

Bu vəziyyətdə, fayllar Amazon Web Services (AWS) S3 bucket verilənlər bazasında saxlanılırdı. Bu, faylları AWS-də saxlamaq üçün məşhur bir üsuldur, lakin istifadəçilərdən öz təhlükəsizlik protokollarını tətbiq etmələrini tələb edir. Bazanın sahibi əvvəlcə aydın olmasa da, “CHS” etiketləndi.

Bunu Londonda yerləşən konsaltinq şirkəti olan CHS Consulting-də gördük. Lakin şirkət veb saytı olmadığından bazaya sahib olduqlarını təsdiq edə bilmirik. Bu vaxt, biz də birbaşa AWS ilə əlaqə saxladıq və CERT-UK, ölkənin Kompüter Təcili Yardım Komitəsi – İngiltərədə məlumat təhlükəsizliyini izləmək və idarə etmək üçün məsuliyyət daşıyır.

Dekabrın 19-na qədər pozuntu bağlandı və məlumat bazası təmin edildi.

  • Tarix aşkarlandı: 9/12/19
  • Tarix CERT-UK əlaqə: 10/12/19
  • AWS ilə əlaqə tarixi: 17/12/19
  • AWS-dən cavab tarixi: 18/12/19
  • Fəaliyyət tarixi: Təxminən 19/12/19

Verilənlər bazasında girişlərin nümunəsi

Açıq verilənlər bazası İngiltərədəki bir çox məsləhət şirkətinə aid sənədlər var. Bunlara daxildir:

  • Dinamik Tərəfdaşlar (2019-cu ildə bağlanıb)
  • Eximius Consultants Limited
  • Garraway Məsləhətçiləri (2014-cü ildə bağlanıb)
  • IQ Məsləhət
  • Partners Associates Ltd (2018-ci ildə bağlanıb)
  • Winchester Ltd (2018-ci ildə bağlanıb)

Açıqlanan məlumatların əksəriyyəti 2014-2015-ci illər idi, bəzi sənədlər 2011-ci ilə qədər geri qayıdır.

Verilənlər bazasında olan faylların xüsusiyyətlərini nəzərə alaraq məruz qalan məlumatlar hələ də aktualdır və bir çox cəhətdən istifadə edilə bilər. Komandamızın baxdığı şəxsi sənədlər daxil edildi, lakin bunlarla məhdudlaşmadı:

  • 1.000s pasport tarar
  • Vergi sənədləri
  • İş müraciətləri
  • Ünvanın sübutları
  • Geniş fon yoxlamaları
  • Cinayət qeydləri
  • Xərclər və faydalar formaları
  • İş sənədləri ilə əlaqəli iş vergiləri və HMRC
  • İmzaları olan skan edilmiş müqavilələr
  • Bir sıra rol və vəzifələr üçün əmək haqqı məlumatları
  • E-poçtlar və şəxsi mesajlar
  • Kredit müqaviləsi üçün müqavilə
  • Daha çox

Bu sənədlərdə İngilis sakinləri və işləyən peşə sahibləri üçün 1000-ə yaxın geniş şəxsiyyət məlumatları var.

Kontekst baxımından, bir firmanın yalnız iki sənədində PII məlumatlarının tam çeşidi var:

  • Tam adlar
  • Ünvanlar
  • Telefon nömrələri
  • Elektron poçt ünvanları
  • Doğum tarixi
  • Cinslər
  • İş adları & sənaye sahələri
  • Milli Sığorta nömrələri
  • Vergi kodları
  • İmmiqrasiya və Viza statusları
  • Millətlər
  • Əmək haqqı təfərrüatları
  • Fərdi məsləhətçilərin ödənişləri haqqında məlumat
  • Şirkətin maliyyə qeydləri

Bunlardan bəzilərini aşağıdakı iki parçadan görmək olar (müəyyənləşdirən detallar örtülmüşdür):

Cinayətkar hakerlər bu məlumat bazasını kəşf etsəydilər, qanunsuz fəaliyyətlər və fırıldaqçılıq üçün qızıl bir maddə olardı və məruz qalanlar üçün dağıdıcı nəticələr verə bilər.

Mütəxəssislərin tövsiyələri

“CHS” verilənlər bazasını qorumaq üçün bəzi əsas təhlükəsizlik tədbirləri görsəydilər bu sızmanın qarşısını asanlıqla ala bilərdilər.

Bunlara daxildir, lakin bunlarla məhdudlaşmır:

  1. Onların serverlərini təmin etmək.
  2. Düzgün giriş qaydalarının tətbiqi.
  3. Doğrulama tələb etməyən bir interneti heç vaxt tərk etməyin.

Hər hansı bir şirkət, ölçüsündən asılı olmayaraq eyni addımları təkrarlaya bilər. Biznesinizi necə qorumaq barədə daha dərindən bələdçi üçün veb saytınızı və onlayn verilənlər bazanızı hakerlərdən qorumaq üçün bələdçimizə baxın..

Açıq S3 Kova təmin etmək

Açıq, ictimaiyyətə görünə bilən S3 qabları AWS-in qüsuru olmadığını qeyd etmək vacibdir. Onlar ümumiyyətlə çömçə sahibi tərəfindən edilən bir səhvin nəticəsidir.

Amazon, A3 istifadəçilərinə S3 kovalarını təmin etmək və gizli saxlamaları üçün ətraflı təlimatlar təqdim edir. “CHS” vəziyyətində bu səhvi düzəltməyin ən sürətli yolu aşağıdakılardır:

  • Kovanı xüsusi hala gətirin və identifikasiya protokollarını əlavə edin.
  • AWS girişi və identifikasiyası ən yaxşı təcrübələrini izləyin.
  • S3 çömçəsinə daha çox qoruyucu təbəqə əlavə edin, giriş nöqtələrindən kimin istifadə edə biləcəyini məhdudlaşdırın.

Fərdi Məsləhətçilər və Firmalar üçün Açıqlanmışdır

Əgər İngiltərədə fəaliyyət göstərən bir məsləhətçi və ya konsaltinq firmasısınızsa və bu pozuntudan narahatsınızsa, CERT-UK şirkətinə müraciət edin məlumatlarınızı qorumaq üçün hansı addımların atıldığını və yayılmadığını təmin etmək üçün.

Ümumiyyətlə məlumatların zəifliyi haqqında daha çox məlumat əldə etmək, onlayn məxfiliyə dair tam təlimatımızı oxuyun. Bu, kiber cinayətkarların internet istifadəçilərini hədəf almasının bir çox yolunu və təhlükəsiz qalmaq üçün atacağınız addımları göstərir.

Qəzanı necə və niyə kəşf etdik

VpnMentor tədqiqat qrupu “CHS” verilənlər bazasında baş verən çatışmazlığı nəhəng veb Xəritəçəkmə layihəsi çərçivəsində aşkarladı. Tədqiqatçılarımız müəyyən IP bloklarını yoxlamaq və sistemlərdə açıq deşiklərin zəifliyini yoxlamaq üçün port taramasından istifadə edirlər.

Məlumatların sızması üçün hər bir çuxuru araşdırırlar. Məlumat pozuntusu tapdıqda, verilənlər bazasının şəxsiyyətini yoxlamaq üçün ekspert üsullarından istifadə edirlər. Daha sonra şirkətdə pozuntular barədə xəbərdarlıq edirik. Mümkünsə, pozuntudan təsirlənənlərə də xəbərdar edəcəyik.

Tamamilə təmin edilməmiş və şifrələnməmiş olduğu üçün komandamız bu AWS S3 çömçə verilənlər bazasına daxil ola bildi. Bu veb Xəritəçəkmə layihəsinin məqsədi internetin bütün istifadəçilər üçün daha etibarlı olmasına kömək etməkdir.

Etik hakerlər olaraq, onlayn təhlükəsizliyində nöqsanlar aşkar edildikdə bir şirkətə məlumat verməliyik. Sahiblə birbaşa əlaqə qura bilmədiyimiz üçün həm NSCS, həm də Amazon-a məlumat verdik ki, onlara zəiflik barədə məlumat versinlər, eyni zamanda məlumatların təhlükəsizliyini təmin etsinlər..

Bu etika, eyni zamanda cəmiyyət qarşısında bir məsuliyyət daşımağımız deməkdir. Təsirə məruz qalan insanlar da məlumatların pozulmasından xəbərdar olmalıdırlar.

Təhlükəsizlik araşdırmaları zamanı rastlaşdığımız məlumatları heç vaxt satmırıq, saxlamırıq və ya açıqlamırıq.

Haqqımızda və əvvəlki hesabatlar

vpnMentor dünyanın ən böyük VPN baxış veb saytıdır. Tədqiqat laboratoriyamız, istifadəçilərin məlumatlarını qorumaq üçün təşkilatlara məlumat verərkən onlayn cəmiyyətin kiber təhdidlərdən qorunmasına kömək etməyə çalışan bir xidmətdir..

Etik təhlükəsizlik araşdırma qrupumuz, son illərdə ən təsirli məlumatlar sızması ilə əlaqəli bəzi şeyləri aşkar etdi və açıqlamışdır. Buraya qlobal miqyasda 1 milyondan çox insanın biometrikliyini və barmaq izlərini ifşa edən böyük məlumat sızması daxil edilmişdir.

İngilis VEED video tənzimləmə platformasının istifadəçilərinin məxfiliyinə və təhlükəsizliyinə necə zərər verdiyini də ortaya qoyduq. Ayrıca VPN Kaçak Hesabatı və Məlumat Gizlilik Statistikaları Hesabatımızı oxumaq istəyə bilərsiniz.

Kim Martin
Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me