Hesabat: Kannabis istifadəçilərinin həssas məlumatları məlumat pozuntusunda ifşa olunur


İnternet məxfilik tədqiqatçıları Noam Rotem və Ran Locarın rəhbərliyi ilə vpnMentorun tədqiqat qrupu bir kəşf etdi sirr sənayesində satış nöqtəsi olan THSuite-də məlumatların pozulması.

Komandamız THSuite-yə məxsus bir təminatsız Amazon S3 kovasını təyin etdi çox sayda sirr dispanserindən həssas məlumatlar məruz qaldı ABŞ və onların müştəriləri ətrafında.

Sızan məlumatlar daxil edilmişdir 30.000-dən çox şəxs üçün şəxsiyyət məlumatlarını (PII) ifşa edən hökumət və işçi şəxsiyyət sənədlərini skan etdi.

THSuite Şirkəti Profili

THSuite, ABŞ-dakı sirr dispanser sahiblərinə və operatorlarına iş prosesinin idarə edilməsi proqram xidmətləri təklif edir.

Sirr dispanserləri toplamalıdır dövlət qanunlarına riayət etmək üçün çox sayda həssas məlumat. THSuite platforması dispanser operatorları üçün bu prosesi hər bir dövlətin API izləmə sistemi ilə avtomatik birləşdirərək asanlaşdırmaq üçün hazırlanmışdır..

Bunun nəticəsidir ki, platformada dispanserlər və onların müştəriləri ilə əlaqəli bir çox şəxsi məlumat əldə edilə bilər.

Aşkaretmə və Sahibin reaksiya qrafiki

Bəzən bir məlumat pozuntusunun dərəcəsi və məlumatların sahibi bəllidir və məsələ tez həll olunur. Ancaq bu nadir hallarda olur. Ən tez-tez, Təhlükənin nədə olduğunu və məlumatları kimin sızdığını anlamazdan əvvəl araşdırma günləri tələb olunur.

Bir pozuntu və bunun potensial təsirini başa düşmək lazımdır diqqətli vaxt və vaxt. Dərc etmək üçün çox çalışırıq dəqiq və etibarlı hesabatlar, onları oxuyan hər kəsin ciddiliyini başa düşməsini təmin etmək.

Bəzi təsirlənmiş tərəflər araşdırmalarımızı nəzərə almadan və ya təsirini azaltmaqla, faktları inkar edirlər. Beləliklə, hərtərəfli olmalı və tapdığımız hər şeyin doğru və doğru olduğuna əmin olmalıyıq.

Bu halda, asanlıqla məlumat bazasının sahibi olaraq THSuite-ni təyin etdik və əldə etdiyimiz nəticələrlə şirkətlə əlaqə qurduq.

  • Tarix aşkarlandı: 24 dekabr 2019
  • Tarix sahibləri əlaqə saxladı: 26 dekabr 2019
  • Tarix Amazon AWS ilə əlaqə qurdu: 7 yanvar 2020
  • Tarix bazası bağlandı: 14 yanvar 2020

Verilənlər bazasında girişlərin nümunəsi

85 mindən çox fayl daxil olmaqla bu məlumat pozuntusu sızdı həssas PII ilə 30.000-dən çox qeyd. Sızma, Amazon Sadə Saxlama Xidməti vasitəsilə Amazon S3 çömçəsində saxlanan skan edilmiş hökumət və şirkət şəxsiyyət sənədlərini də əhatə etdi..

Sızan çömçə o qədər məlumat ehtiva edirdi bütün qeydləri tək-tək araşdırmağımız mümkün deyildi. Bunun əvəzinə, ümumi pozuntularda hansı tip məlumatların məruz qaldığını anlamaq üçün bir ovuc təsadüfi girişlərə baxdıq.

Yoxladığımız giriş nümunələrində ABŞ-ın müxtəlif yerlərindəki üç marixuana dispanseri ilə əlaqəli məlumat tapdıq: Amedicanna Dispanser, Bloom Medicinals və Colorado Grow Company. Bu giriş nümunələrinə aşağıda baxa bilərsiniz.

Lakin, bu pozuntu daha çox dispanserə təsir etdi. Bütün THSuite müştəriləri və onların müştəriləri iştirak etməsi mümkündür.

Fotoşəkillərini də tapdıq hökumət tərəfindən verilmiş foto şəxsiyyət sənədləri eyni zamanda dispanser ziyarətçiləri və xəstələrin müvafiq imzaları. Bundan əlavə, sirr əsaslı dərmanların alınması və istifadəsi ilə bağlı dövlət qanunlarını qəbul edən hər bir xəstənin göründüyü üçün attestasiyalar var..

Amedicanna Dispanser Faylları

THSuite pozuntusu, Merilend əyalətində yerləşən tibbi sirr dispanseri AmediCanna Dispanserinin məlumatlarını ehtiva edir..

Sızma, Amedicanna’nın müştəriləri haqqında aşağıdakı şəxsi məlumatları üzə çıxardı:

  • Tam adı
  • Telefon nömrəsi
  • Elektron poçt ünvanı
  • Doğum tarixi
  • küçə ünvanı
  • Tibbi / Dövlət şəxsiyyət vəsiqəsi nömrəsi və istifadə müddəti
  • Sirr qram həddi
  • İmza

THSuite pozuntusu xəstələri

Məlumat bazası da daxil idi Amedicannanın inventar və satışları haqqında ətraflı məlumat. Aşağıdakı məlumatlarla aparılan əməliyyatların siyahısını görə bildik.

  • Xəstənin adı və tibbi şəxsiyyət nömrəsi
  • İşçinin adı
  • Sirr çeşidi satın alındı
  • Satın alınan sirr miqdarı
  • Cəmi əməliyyat dəyəri
  • Alınan tarix, daxili qəbz vəsiqəsi ilə birlikdə

THSuite pozuntusu qəbzləri

Bloom Dərmanları

Bloom Medicinals, Akron, Columbus, Maumee, Painesville və Seven Mile bölgələrində yerləşən Ohayo mərkəzli tibbi sirr dispanseridir..

Məlumat pozuntusu dispanserin məlumatlarını ifşa etdi inventar, aylıq satış hesabatları və uyğunluq hesabatları, kimi aşağıdakı xəstə məlumatları:

  • Tam adı
  • Doğum tarixi
  • Tibbi / dövlət vəsiqəsi və istifadə müddəti
  • Telefon nömrəsi
  • Elektron poçt ünvanı
  • küçə ünvanı
  • İlk alış tarixi
  • Sirr alışı üçün xəstəyə maddi yardım olub-olmaması
  • Xəstənin SMS mətn bildirişlərinə üstünlük verib-verməməsi

Dispanserin aylıq satışlarını, endirimlərini, geri qaytarılmalarını və ödənilən vergiləri görə bildik. Satışlar daha sonra ödəmə üsulu və məhsul növü üzrə bölüşdürüldü.

THSuite pozuntularının satışı

Verilənlər bazasında, hər bir sirr məhsulunun siyahısı, qısa təsviri, məhsulun tədarükçüsü və qiyməti də daxil edilmişdir.

Colorado Grow şirkəti

Colorado Grow Company, Kolorado ştatının Durango şəhərində yerləşən istirahət marixuana dispanseridir.

THSuite məlumatlarının pozulması, dispanserin həm sirr, həm də sirr olmayan məhsullar üçün ümumi satış, endirimlər, vergilər, xalis satışlar və hər bir ödəniş növü üçün cəmi daxil olmaqla aylıq satış hesabatlarını ifşa etdi..

Sızıntı ifşa olundu dispanser işçilərinin tam adı və işlədiyi saatlar hər iki həftəlik ödəmə müddətində.

THSuite pozuntu işçisi saatları

Verilənlər bazasına a ətraflı inventar siyahısı dispanserdəki məhsul adları, təsvirləri, xərc bölgüsü və miqdarı ilə.

Kolorado Grow Şirkətinin müştəriləri və ya digər istirahət marixuana istifadəçiləri haqqında xüsusi məlumatlar olan heç bir qeyd tapmadıq. Ancaq bütün sızan məlumatları ətraflı araşdıra bilmədiyimiz üçün, bu qeydlərin olmadığına əmin ola bilmirik.

Məlumatların pozulması təsiri

Bu məlumatların pozulması dispanserlər və müştərilər üçün ciddi nəticələrə səbəb olur.

Kannabis istifadəçiləri üçün gizlilik narahatlıqları

Bu məlumatların pozulması nəticəsində, həssas şəxsi məlumatlar tibbi sirr xəstələri üçün məruz qaldı, və bəlkə də istirahət sirr istifadəçiləri üçün. Bu bəzilərini artırır ciddi məxfilik narahatlıqları.

Tibbi xəstələrin tibbi məlumatlarını yaxşı bir səbəblə gizli saxlamağa qanuni haqqı var. Şəxsi məlumatları sızan xəstələr həm şəxsən, həm də peşəkar baxımdan mənfi nəticələrlə üzləşə bilərlər.

HIPAA qaydalarına əsasən, ABŞ-da hər hansı bir tibb xidməti təminatçının qorunan sağlamlıq məlumatlarını ifşa etməsi üçün federal bir cinayətdir (PHI) bir şəxsin müəyyənləşdirilməsi üçün istifadə edilə bilər. HIPAA pozuntuları hər ifşa olunan qeydlərə görə və ya hətta həbs müddətində 50.000 dollara qədər cərimə ilə nəticələnə bilər.

Cannabis dispanserləri qanuni bir boz bölgədə mövcuddur, çünki ABŞ-da həm tibbi, həm də istirahət marixuana ilə əlaqədar federal və əyalət qanunları arasında böyük ziddiyyətlər mövcuddur. Sirr istifadəsinin dövlət qanunlarına görə icazə verdiyi dövlətlərdə belə, federal qanunla hələ qadağandır.

Bununla birlikdə əksər hüquq mütəxəssisləri bununla razılaşırlar dispanserlər, hər hansı digər tibb xidməti kimi HIPAA qaydalarına əməl etməlidirlər.

Bir çox iş yerində sirr istifadəsini qadağan edən xüsusi siyasət var. Müştərilər və xəstələr, sirr istifadəsinə məruz qaldıqları üçün iş yerində nəticələrlə üzləşə bilərlər. Bəziləri hətta işlərini itirə bilər, xüsusilə federal bir agentlik üçün işləsələr.

Qanuni risk olmadan belə, hələ də var sirr istifadə ətrafındakı stiqma. Ailələri, dostları və həmkarları, sirr istifadə etdiklərini bilsələr, fərdlər geri çəkilə bilər.

Dolandırıcılar və фишинг hücumları

Hakerlər və fırıldaqçılar yaratmaq üçün dispanser müştərilər və işçilər haqqında məlumat pozuntularına məruz qalan şəxsi məlumatlardan faydalana bilərlər yüksək təsirli fişinq hücumları.

Aşkar edilmiş telefon nömrələri və mətn bildirişinə qoşulma statusu phishing hücumları üçün mükəmməl bir fürsət təmin edin. Zərərli aktyorlar ayrıca şəxsləri hədəf almaq üçün sızan e-poçt və ev ünvanlarından istifadə edə bilərlər.

Hakerlər açıqlanmış şəxsi məlumatları asanlıqla istifadə edə bilərlər sosial media hesabları vasitəsilə daha çox şəxsi məlumat toplamaq və digər onlayn mənbələr. Məlumat pozuntusuna məruz qalan son alışlar haqqında ətraflı məlumat istifadə edilə bilər özəl maliyyə hesablarına giriş əldə etmək.

Kifayət qədər məlumatla, zərərli tərəf belə edə bilər şəxsiyyət oğurluğu, çox ciddi uzunmüddətli nəticələrə səbəb ola bilər.

Dispanserlərə təsiri

Məlumatların pozulması, şəxsi məlumatları ilə THSuite-yə etibar edən dispanserlərə də təsir göstərir. Bu dispanserlər qarşı-qarşıya gələ bilər bu pozuntunun yaratdığı HIPAA pozuntusu səbəbindən böyük nəticələr.

Digər bir məsələ, rəqabət aparan dispanserlərin bu dispanserlərin müştəriləri və inventarları haqqında daha ətraflı məlumat əldə edə bilməsidir.

Bu müəssisələr qiymət strategiyasını və məhsul təkliflərini yaxşılaşdırmaq üçün bundan istifadə edə bilərlər. Yaratmaq üçün sızan müştəri məlumatlarını da istifadə edə bilərlər hədəf reklam kampaniyaları.

Təsirə məruz qalan dispanserlər müştərilərini itirə bilər məlumatların pozulması nəticəsində. Dispanserlər birbaşa məsuliyyət daşımırdılarsa belə, müştərilər tərəddüd edə bilər bu dispanserlərə şəxsi məlumatları ilə etibar edin sızıldıqdan sonra.

Mütəxəssislərin tövsiyələri

Bəziləri götürsəydilər, THSuite bu sızıntının qarşısını asanlıqla ala bilərdi əsas təhlükəsizlik tədbirləri Amazon S3 kovasını qorumaq üçün. Bunlara daxildir, lakin bunlarla məhdudlaşmır:

  • Serverlərinizi təhlükəsiz edin
  • Uyğun giriş qaydalarını tətbiq edin
  • Doğrulama tələb etməyən bir sistemi heç vaxt internetə buraxmayın

Hər hansı bir şirkət, ölçüsündən asılı olmayaraq eyni addımları təkrarlaya bilər. Biznesinizi necə qorumaq haqqında daha çox məlumat əldə etmək üçün ətraflı təlimatımıza baxın veb saytınızı və onlayn verilənlər bazanızı hakerlərdən təmin etmək.

Təsirə məruz qalan dispanserlər üçün

THSuite ilə birbaşa əlaqə qurmağı məsləhət görürük şirkətin təhlükəsizlik praktikaları və gələcəkdə məlumatlarınızın təhlükəsizliyini necə təmin etməyi planlaşdırması barədə daha çox məlumat əldə etmək.

Ən azından, THSuite bu məlumat pozuntusunun necə baş verdiyini öyrənmək və yeni təhlükəsizlik prosedurlarını həyata keçirmək üçün araşdırma aparmalıdır bu kimi bir şey bir daha baş verməyəcəyinə əmin olun.

Gələcəkdə sizə də tövsiyə edirik hər hansı bir üçüncü tərəf xidmətlərini yaxşıca yoxlayın ən yaxşı təcrübələri izlədiklərinə və həssas məlumatlarınızı qorumaq üçün bir çox təhlükəsizlik tədbirlərinə sahib olmağınız üçün işə götürürsünüz.

Təsirə məruz qalan müştərilər üçün

Bir marixuana dispanserinin müştərisi və ya xəstəsidirsə, bunların THSuite istifadə etdiyini və ya əvvəllər istifadə etdiyini bilmək üçün birbaşa provayderinizlə danışmağı məsləhət görürük.

Şəxsi məlumatlarınızın bu məlumat pozuntusuna məruz qaldığına inansanız, bunun təsirini minimuma endirmək üçün addımlar ata bilərsiniz.

Bizim oxuyun onlayn məxfiliyə tam bələdçi hakerlərin şəxsi həyatınızı pozmaq üçün istifadə üsulları və özünüzü qorumaq üçün nə edə biləcəyinizi öyrənmək. Sizə də tövsiyə edirik Şəxsi məlumatlarınızı qorumaq üçün VPN istifadə edin məlumatlarınızı sızdırdıqdan sonra sizi hədəf almağa cəhd edə biləcək kiber cinayətkarlardan.

Gələcəkdə təhlükəsizliyinizə və məxfiliyinizə necə zəmanət verəcəyini öyrənmək üçün dispanserinizlə danışmaq istəyə bilərsiniz.

Qəzanı necə və niyə kəşf etdik

VpnMentor tədqiqat qrupu bu pozğunluğu THSuite’nin məlumat bazasında bizim bir hissəsi olaraq aşkarladı geniş miqyaslı veb Xəritəçəkmə layihəsi.

Tədqiqat qrupumuz, məlum IP bloklarını tapmaq üçün portları tarar. Komanda daha sonra açıq bir verilənlər bazasını göstərəcək sistemdəki zəifliklər axtarır.

Tamamilə təmin edilməmiş və şifrələnməmiş olduğundan THSuite-nin S3 çarxına daxil ola bildik. Veb brauzerindən istifadə edərək komanda verilənlər bazasında yerləşdirilən bütün faylları əldə edə bildi.

Məlumat pozuntusunu tapdıqdan sonra verilənlər bazasını sahibinə qaytarmaq üçün əlimizdən gələni edirik. Daha sonra zəifliyi bildirmək üçün sahibinə müraciət edirik və sahibinin sistemlərinin təhlükəsizliyini artırmağın yollarını təklif edirik.

Etik hakerlər və tədqiqatçılar olaraq qarşımızdakı məlumatları heç vaxt satmırıq, saxlamırıq və ifşa etmirik. Məqsədimiz hər kəs üçün internetin ümumi təhlükəsizliyini və təhlükəsizliyini artırmaqdır.

Haqqımızda və əvvəlki hesabatlar

vpnMentor dünyanın ən böyük VPN baxış veb saytıdır. Tədqiqat laboratoriyamız, istifadəçilərin məlumatlarını qorumaq üçün təşkilatlara məlumat verərkən onlayn cəmiyyətin kiber təhdidlərdən qorunmasına kömək etməyə çalışan bir xidmətdir..

Bu yaxınlarda bir tapdıq Cənubi Afrikadakı mobil internet istifadəçilərinin tarama tarixini ifşa edən böyük məlumat pozuntusu. Biz də kəşf etdik Çin onlayn pərakəndə satış şirkəti LightInTheBox tərəfindən sızan 1TB məlumat.

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map