Hesabat: milyonlarla istifadəçiyə təsir edən biometrik təhlükəsizlik platformasında məlumatların pozulması

İnternet məxfilik tədqiqatçıları Noam Rotem və Ran Locarın rəhbərliyi ilə vpnMentor komandası bu yaxınlarda kəşf etdi Təhlükəsizlik platformasında BioStar 2-də böyük bir məlumat pozuntusu.  

BioStar 2 veb əsaslıdır biometrik təhlükəsizlik ağıllı kilid platforması. Mərkəzləşdirilmiş bir tətbiq, idarəçilərə imkan verir obyektlərin təhlükəsiz ərazilərinə daxil olmağa nəzarət, istifadəçi icazələrini idarə edin, üçüncü tərəf təhlükəsizlik tətbiqetmələri ilə inteqrasiya edin və fəaliyyət qeydlərini qeyd edin. 

Biometrik proqramın bir hissəsi olaraq, BioStar 2 istifadəçiləri tanımaq üçün üz tanıma və barmaq izi texnologiyasından istifadə edir.

The app edir dünyanın ən yaxşı 50 təhlükəsizlik istehsalçısından biri olan Suprema tərəfindən inşa edilmişdir, EMEA bölgəsində biometrik giriş nəzarətində ən yüksək bazar payı ilə. Bu yaxınlarda Suprema, BioStar 2-ni AEOS giriş nəzarət sisteminə inteqrasiya etmək üçün Nedap ilə tərəfdaşlıq etdi. 

AEOS, ən böyük çoxmillətli müəssisələrin, bir çox kiçik yerli müəssisələrin, hökumətlərin, bankların və hətta İngiltərə Böyükşəhər Polisinin də daxil olduğu 83 ölkədəki 5700-dən çox təşkilat tərəfindən istifadə olunur.. 

Qəzaya sızan məlumatlar olduqca həssas bir təbiətə malikdir. Bu ətraflı daxildir işçilərin şəxsi məlumatları və şifrəsiz istifadəçi adları və şifrələr, Hakerlərə BioStar 2 istifadə edən obyektlərdə istifadəçi hesablarına və icazələrinə giriş vermək. Zərərli agentlər bundan istifadə edə bilər təhlükəsiz obyektlərə girmək və cinayət əməliyyatları üçün təhlükəsizlik protokollarını idarə etmək. 

Bu həm müəssisə, həm təşkilat, həm də işçiləri üçün təhlükə yaradan böyük bir sızma. Komandamız 1 milyondan çox barmaq izi qeydlərinə, habelə üz tanıma məlumatlarına daxil ola bildi. Şəxsi detallar, istifadəçi adları və şifrələr ilə birlikdə, cinayət fəaliyyəti və fırıldaqçılıq potensialı böyükdür. 

Oğurlandıqdan sonra barmaq izi və üz tanıma məlumatları əldə edilə bilməz. Bir fərd potensial olaraq ömrü boyu təsirlənəcəkdir. 

Aşkaretmə və Sahibin reaksiya qrafiki

BioStar 2 verilənlər bazasında pozuntu aşkar etdikdən sonra onları xəbərdar edən şirkətlə əlaqə saxladı tapıntılarımızdan.

Lakin, biz BioStar 2-ni ümumiyyətlə çox əməkdaşlıqsız gördük bu müddət ərzində. Komandamız etdi şirkətlə əlaqə qurmaq üçün çoxsaylı cəhdlər e-poçt üzərindən, heç bir faydası yoxdur. Sonda BioStar 2-nin ofislərinə telefonla müraciət etmək qərarına gəldik. Yenə şirkət oldu əsasən cavabsız. 

Alman komandasının bir üzvü ilə danışdıqdan sonra cavabı aldıq “Biz vpnMentor ilə danışmırıq”, əvvəl telefon qəflətən asıldı. Bu, onların olduğunu göstərir bizi tanıyır və məsələni həll etmək cəhdlərimizi.

BioStar 2-nin GDPR uyğunluğu üzrə əməkdaşı ilə də əlaqə yaratmağa çalışdıq, lakin cavab almadıq. 

Nəhayət, daha kooperativli bir fransız filialı ilə telefonla danışdıqdan sonra, şirkət tərəfindən pozuntuları bağlamaq üçün addımlar atıldı. 

  • Aşkar edilən tarix: 5 Avqust 2019
  • Tarix satıcıları əlaqə saxladı: 7 Avqust 2019
  • Fəaliyyət tarixi: 13 Avqust, qayda bağlandı

Verilənlər bazasında girişlərin nümunəsi

Mərkəzləşdirilmiş təhlükəsizlik həlli kimi, BioStar 2 verilənlər bazasında, demək olar ki, hər cür həssas məlumatlar mövcuddur. 

Biostar-2-Hava limanıBu ola bilər geniş cinayət fəaliyyətində istifadə olunur olardı Təsirə məruz qalan müəssisə və təşkilatlar, habelə onların işçiləri və ya müştəriləri üçün fəlakət. 

Komandamız idi 27.8 milyondan çox qeydə, cəmi 23 gigabayt məlumat əldə edə bilir, aşağıdakı məlumatları daxil etdi:

  • Müştəri idarəetmə panellərinə, tablosuna, arxa sona nəzarət və icazələrə giriş 
  • Barmaq izi məlumatları 
  • Üz tanıma məlumatları və istifadəçilərin şəkilləri
  • Şifrələnməmiş istifadəçi adları, şifrələr və istifadəçi identifikatorları
  • Təhlükəsiz ərazilərə giriş və çıxış qeydləri
  • İşə başlama tarixləri daxil olmaqla işçilərin qeydləri
  • İşçilərin təhlükəsizlik səviyyəsi və rəsmiləşdirmələr
  • Şəxsi məlumat, o cümlədən işçinin ev ünvanı və e-poçt
  • Müəssisələrin işçi strukturları və iyerarxiya
  • Mobil cihaz və OS məlumatları

Bu sızıntının daha təəccüblü tərəflərindən biri də bu idi daxil olduğumuz hesab şifrələrinin nə qədər etibarlı olmadığını. Bir çox hesabda “Şifrə” və “abcd1234” kimi gülməli sadə şifrələr var. İnsanların hələ də başa düşmədiklərini təsəvvür etmək çətindir bir hackerin öz hesablarına girməsini asanlaşdırır. 

Biostar-2-Easy-PWƏlbəttə, bir çox istifadəçi daha mürəkkəb və effektiv parol yaratdı normal olaraq tapmaq və ya açmaq çətin olacaqdır. Lakin, BioStar 2 bazasında parolları asanlıqla görə bildik, etibarlı şəkildə yuyulmaq əvəzinə, düz mətn sənədləri kimi saxlanıldı.

Biostar2-KibanaSızıntıdan təsirlənən iş yerləri ölçüsü, yeri, sənayesi və istifadəçiləri baxımından çox dəyişdi. Dünyamızda məlumat əldə edə və görə biləcəyimiz bəzi iş nümunələri bunlardır:

ABŞ

  • Birlik Üzvləri Evi – 7000 istifadəçisi olan işçilər üçün yer və sosial klub.
  • Lits Link – Proqram təminatına dair məsləhət.
  • Phoenix Medical – Tibbi məhsullar istehsalçısıdır.

İndoneziya

  • Uptown – 123 istifadəçi ilə Cakartaya əsaslanan işləmə sahəsi.

Hindistan və Şri Lanka

  • Power World İdman salonları – Hər iki ölkədə filialları olan yüksək səviyyəli idman salonu franchise. 113,796 istifadəçi qeydlərini və barmaq izlərini əldə etdik.

Birləşmiş Krallıq

  • Associated Polimer qaynaqları – Plastiklərin təkrar emalı üzrə mütəxəssislər.
  • Çini dağı – Ev bəzəyi və DIY təchizatçısıdır.  
  • Farla Medical – Tibbi təchizat mağazası.

BƏƏ

  • Global Village – 15000 barmaq izinə çıxışı olan illik bir mədəniyyət festivalı.
  • IFFCO – İstehlakçı ərzaq məhsulları qrupu.

Finlandiya

  • Euro Park – Finlandiya daxilində saytlar olan avtomobil dayanacağı inkişaf etdiricisi. 

Türkiyə

  • Ostim – Sənaye zonası inşaatçısı.   

Yaponiya

  • Inspired.Lab – Çiyoda şəhərində Tokioda işləmə və dizayn sahəsi.  

Belçika

  • Adecco Staffing – İşçi heyəti və insan resursları nəhəngi ilə əlaqəli təxminən 2000 barmaq izi tapdıq.

Almaniya

  • Identbase – Ticarət şəxsiyyət və giriş kartı çap texnologiyasının bu tədarükçüsünə aid məlumatlar aşkar edilmiş verilənlər bazasında da tapıldı.

Ola bilər Bu sızmanın ən böyük narahatlığı onun ölçüsüdür. BioStar 2 istifadəçiləri, hökumətlər, banklar, universitetlər, müdafiə firmaları, polislər və çoxmillətli müəssisələr daxil olmaqla potensial gələcək istifadəçiləri olan bütün dünyada yayılmışdır.. 

Platformada dünya miqyasında 1,5 milyondan çox qurğu var və bunların hamısı bu sızıntıya qarşı həssas ola bilər. Təsirə məruz qalan insanların ümumi sayı on milyonlarla ola bilər. 

Məlumatların pozulması təsiri

Üz tanıma və barmaq izi məlumatları dəyişdirilə bilməz. Onlar oğurlandıqdan sonra geri qaytarıla bilməz. BioStar 2-in bu məlumatı təmin etməməsi, əhəmiyyətini və BioStar 2-nin təhlükəsizlik şirkəti tərəfindən inşa edilməsini narahat edir.. 

Barmaq izinin bir hissəsini saxlamaq əvəzinə (tərs tərtib edilə bilməyən) onlar insanların əsl barmaq izlərini qənaət edirlər zərərli məqsədlər üçün kopyalanabilir.

Sızanada tapılan bütün məlumatları bir yerə yığmaq, hər cür cinayətkarlar bu məlumatı müxtəlif qanunsuz və təhlükəli fəaliyyətlər üçün istifadə edə bilərdilər.

Hesab götürmə və təhlükəsizlik pozuntuları

Bu sızma ilə cinayətkar hakerlər BioStar 2-də admin hesablarına tam giriş imkanı əldə edirlər. Bunlar istifadəçi icazəsi və təhlükəsizlik rəsmiləşdirmələri ilə yüksək səviyyəli bir hesabı almaq üçün istifadə edə bilər və bütün şəbəkədə təhlükəsizlik parametrlərinə dəyişiklik etmək. 

Yalnız istifadəçi icazələrini dəyişdirə və insanları müəyyən sahələrdən kənarda saxlaya bilməzlər, həm də edə bilərlər üz tanıma və barmaq izləri ilə tamamlanan yeni istifadəçi hesabları yaratmaq – özlərinə giriş vermək bir bina və ya obyekt daxilində sahələri təmin etmək. 

Bundan əlavə, hakerlər mövcud hesabların barmaq izlərini dəyişdirə bilərlər özlərinə və bir istifadəçi hesabını qaçırın məhdudlaşdırılmamış ərazilərə daxil olmaq. Hakerlər və digər cinayətkarlar potensial ola bilər istənilən vaxt istifadə ediləcək barmaq izlərinin kitabxanalarını yaradın aşkarlanmadan bir yerə girmək istəyirlər. 

Bu bir haker və onların komandasını təmin edir BioStar 2 ilə qorunan bütün məhdud ərazilərə açıq giriş. Bununla yanaşı, fəaliyyət qeydlərinə də daxil ola bilərlər fəaliyyətlərini gizlətmək üçün məlumatları silə və ya dəyişdirə bilərlər. 

Nəticədə, bərbad bir binanın bütün təhlükəsizlik infrastrukturu yararsız hala düşür. Bu məlumatlara sahib olan hər kəs, seçilmədiyi yerə getmək üçün sərbəst hərəkət edə bilər.

Soyğunçuluq və fırıldaqçılıq

Bir hacker və ya cinayətkarın etibarlı bir binaya tam girməsinin ən açıq təhlükəsi oğurluqdur. Onlar bacarar bu məlumat bazasını olduqca sanki bir otağa girmək və dəyərli bir şey almaq üçün istifadə edin.

Binanın xüsusiyyətindən asılı olmayaraq, kiçik bir idman zalı və ya bir dövlət idarəsi olsun bu həqiqətdir. 

Sızma hakerlərə də imkan verir başqa şəkildə bağlanmış şəbəkələrə giriş bir binanın xaricindən çata bilməyəcəyik. Bununla, bacarırlar qiymətli məlumatları, bitki viruslarını oğurlamaq, sistemləri izləmək və istismar etmək və daha çox şey. 

Şəxsiyyət oğurluğu və fırıldaqçılıq

BioStar 2 sızması var istifadəçilərin adları, barmaq izləri və şəkillərlə yanaşı çoxlu sayda fərdi şəxsi məlumat. Bura daxildir məşğulluq qeydləri, e-poçt ünvanları və ev ünvanları. 

Təsirə məruz qalan müəssisələr üçün təhlükəsizliklə yanaşı, işçilər və müştərilər də ola bilər fırıldaqçılıq və digər cinayətlərə yönəldilmişdir.

Eyni şəxsi məlumatları da istifadə etmək olar təsirli fişinq kampaniyaları. Bir фишинг kampaniyası qurbanları aldatmaq üçün təqlid e-poçtlarından istifadə Zərərli proqram ilə bağlantı tıklayarak və ya onlardan oğurlamaq üçün istifadə edilə bilən bir məlumat təqdim etmək üçün. Bu qaçaqlıqda mövcud olan şəxsi və peşəkar detallarla, effektiv phishing kampaniyaları yaratmaq çətin olmayacaqdır.

BioStar 2 məlumatları kiber cinayətkarlara verir istifadəçiləri qanunsuz maliyyə qazancı üçün istismar etmək üçün möhkəm bir təməldir. Onlar da edə bilərlər məlumatları – barmaq izləri daxil olmaqla – qaranlıq vebdə satın digər cinayətkarlara və ya zərərli agentlərə. Buna səbəb ola bilər günahsız BioStar 2 istifadəçilərinin məlumatları ilə həyata keçirilən bir çox araşdırılmaz, günahlandırıcı fəaliyyət. 

Şantaj və qəsb

Müəyyən işçilərin bir iş yerlərində icazə icazələrinə əsaslanaraq şantaj və ya qəsb üçün hədəfə alınması, dünyada cinayətkarlar tərəfindən istifadə olunan məşhur bir taktikadır. Bir hakerə imkan verir fiziki təhlükə yaratmadan dəyərli məlumatlara və ya aktivlərə çıxış əldə etmək. 

Qəza BioStar 2-in verilənlər bazası hakerlərə fərdi təhlükəsizlik rəsmiliyini görmək imkanı verir bir təşkilat daxilində və şantaj və qəsb üçün yüksək səviyyəli şəxsləri hədəfə alın buna əsaslanaraq. 

Mövcud şəxsi məlumatlardan istifadə etməklə, şəxsi məlumatları əldə etməklə təhdidlərini çox təsirli edə bilərlər və ailə və ya münasibətlər kimi şəxsi zəifliklərdən istifadə. Bu qoyur Təsirə məruz qalan BioStar 2 müştərilərinin işçiləri böyük bir potensial təhlükə altındadır.  

Oğurlanmış barmaq izlərindən istifadə

Barmaq izləri kimi biometrik təhlükəsizliyin istifadəsi son inkişafdır. Kimi, Barmaq izlərinizin oğurlanmasının tam potensial təhlükəsi hələ məlum deyil. 

Ancaq yadda saxlamaq lazım olan şey budur oğurlandıqda parollardan fərqli olaraq barmaq iziniz dəyişdirilə bilməz. 

Bu, barmaq izi məlumatlarının oğurlanmasını daha da artırır. Barmaq izləri yazılmış parolları əvəz edir telefonlar kimi bir çox istehlak maddəsində. İstehlak mallarındakı barmaq izi skanerlərinin çoxu şifrələnməmişdir, buna görə bir haker barmaq izinizi çoxaltmaq üçün texnologiya hazırlayanda bunları edəcəklər mesajlar, fotoşəkillər və cihazınızda saxlanan ödəniş üsulları kimi bütün şəxsi məlumatlara giriş əldə edin. 

Bu, çoxlarının potensial problemlərindən biridir. 

BioStar 2 üçün hazırda ən böyük məsələlərdən biri nüfuzludur. Təhlükəsizlik şirkətinin müştərilərini tam qoruya bilməməsindən narahatıq.

Cinayətkar hakerlərin əlindədir, bütün bu məlumatlar hamısı yüklənib sonradan istifadə üçün saxlanıla bilərdi müxtəlif cinayətlərdə. 

Mütəxəssislərin tövsiyələri

Bu sızmanın asanlıqla qarşısını almaq olardı, BioStar 2 istehsalçıları bir sıra əsas təhlükəsizlik tədbirləri görmüşdülər. Hələ tapdığımız məlumat hələ də cinayətkar hakerlərin əlinə keçə bilərdi, BioStar 2 və Suprema-a aşağıdakıları təklif edirik:

  1. Serverlərinizi daha yaxşı qorunma tədbirləri ilə təmin edin.
  2. İstifadəçilərin əsl barmaq izlərini saxlamayın. Tərs tərtib edilə bilməyən bir hash versiyasını edin. 
  3. Verilənlər bazalarınızda düzgün giriş qaydalarını tətbiq edin.
  4. Doğrulama tələb etməyən bir sistemi heç vaxt internetə buraxmayın.

Barmaq izinin bir hissəsini saxlamaq əvəzinə (əksinə işlənə bilməz) onlar zərərli məqsədlər üçün bir nüsxə yaratmaq üçün istifadə edilə bilən həqiqi barmaq izinə qənaət edirlər..

BioStar 2 Müştərilərinə Məsləhət

Əgər işiniz və ya təşkilatınız BioStar 2-dən istifadə edirsə və bu məlumat pozuntusuna məruz qaldığınızdan narahat olsanız, sizə təklif edirik daha ətraflı məlumat üçün Suprema ilə əlaqə saxlayın. 

Biz də təklif edirik dərhal BioStar 2 tablosuna şifrənizi dəyişdirmək və şəxsi şifrələrini dəyişdirmək üçün işçiləri xəbərdar etmək.

Bundan əlavə, təhlükəsiz parol yaratmalarına kömək etmək üçün işçilərinizlə bir bələdçi və ya alətlər yaratmağı təklif edirik. Daha yaxşı qorunmasını təmin etmək üçün çox sayda onlayn şifrə sayğacı mövcuddur.

Biznesinizi onlayn qorumaq üçün dərin bir bələdçi üçün veb saytınızı və onlayn verilənlər bazanızı hakerlərdən necə qorumağınıza baxın.

İstifadəçilərə tövsiyələr 

İşəgötürəniniz və ya müştəri olduğunuz bir iş BioStar 2 istifadə edirsə, şəxsi məlumatlarınız, barmaq izləriniz və üz tanıma məlumatlarınız sızmış ola bilər.

İşinizi və ya işəgötürəninizi narahatlıqlarınız barədə məlumatlandırmalı və məlumatların sızmasından xəbərdar olmalısınız. 

Ümumiyyətlə məlumatların zəifliyindən narahat olsanız, onlayn məxfiliyə dair tam təlimatımızı oxuyun. Bu, kiber cinayətkarlar tərəfindən hədəf alınmağın bir çox yolu və təhlükəsiz qalmaq üçün atacağınız addımları göstərir. 

Qəzanı necə və niyə kəşf etdik

vpnMentorun tədqiqat qrupu pozuntunu a vasitəsilə tapdı nəhəng veb-xəritə layihəsi. Noam və Ran başda olmaqla, komanda tanış IP bloklarını axtaran limanları araşdırır. Bu bloklardan şirkətin veb sistemində boşluq tapmaq üçün istifadə edirlər. Bu deliklər tapıldıqdan sonra, komanda məlumat pozuntusuna səbəb olacaq zəifliklər axtarır.

Komanda, BioStar 2 verilənlər bazasının böyük hissələrinin qorunmadığını və əsasən şifrələnməmiş olduğunu aşkar etdi. Şirkət adətən URL istifadə üçün nəzərdə tutulmayan bir Elasticsearch verilənlər bazasından istifadə edir. Bununla birlikdə brauzer vasitəsi ilə əldə edə bildik və URL axtarış meyarlarını çox miqdarda məlumatları ifşa etməklə idarə etdik. 

Onların təcrübəsindən istifadə edərək, onlar da şəxsiyyətini təsdiqləmək üçün məlumat bazasını araşdırdı.

Etik hakerlər kimi, təhlükəsizlik qüsurlarını aşkar etdikdə veb saytlara müraciət etməyə borcluyuq. Bir şirkətin məlumat pozması bu qədər insana təsir edərkən və belə həssas məlumatları ehtiva edərkən xüsusilə doğrudur.

Ancaq bu etika da deməkdir xalqa bir məsuliyyət daşıyırıq. BioStar 2 müştəriləri və işçiləri istifadəçilərini qorumaq üçün çox az səy göstərən texnologiyadan istifadə edərkən atdıqları risklərdən xəbərdar olmalıdırlar.

Haqqımızda və əvvəlki hesabatlar

vpnMentor dünyanın ən böyük VPN baxış veb saytıdır. Tədqiqat laboratoriyamız, istifadəçilərin məlumatlarını qorumaq üçün təşkilatlara məlumat verərkən onlayn cəmiyyətin kiber təhdidlərdən qorunmasına kömək etməyə çalışan bir xidmətdir..

Bu yaxınlarda 80 milyon ABŞ ev təsərrüfatına təsir göstərən böyük bir məlumat pozuntusu aşkar etdik. Gearbest’in də kütləvi məlumat pozuntusu yaşadığını ortaya qoyduq. Ayrıca VPN Kaçak Hesabatı və Məlumat Gizlilik Statistikaları Hesabatı oxumaq istəyə bilərsiniz.

Xahiş edirəm bu hesabatı Facebook-da paylaşın və ya tweet edin.

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map