Hesabat: Sahə Proqramı Həssas Müştəri Məlumatları sızır


vpnMentor`s tədqiqat qrupu Fieldwork proqram bazasında bir sızma tapdı.

Kiber təhlükəsizlik araşdırma qrupumuzun rəhbərləri Noam Rotem və Ran Locar bir tapdılar Sahə işlərinə aid məlumat bazasını sızdırmaq. Sahə işləri kiçik iş proqramlarını əməliyyatlarını səmərəli idarə etmək üçün təklif edir.

Qanun pozuntusunda çoxlu sayda məlumat tapdıq. Bura daxildir müştəri adları, ünvanları, telefon nömrələri, e-poçt ünvanı, siqnal kodları, imzalar, müştəri məlumatları, kredit kartı məlumatları, şəkillər, və digər ətraflı şərhlər. Ən əhəmiyyətli, biz tapdıq giriş imkanı verən avtomatik giriş bağlantıları bir istifadəçinin Sahə işi xidməti portalına göndərin. Bu pozuntunun nəticələri genişdir.

Sızıntını aşkarlayarkən Sahə işləri ilə əlaqə saxladıq. Onlar idilər peşəkar və səmərəli elektron poçtumuzu aldıqdan sonra. Sahə işləri onlarla danışdıqdan 20 dəqiqə sonra sızıntını bağladı.

Verilənlər bazasına giriş nümunələri

Sahə işi zərərvericilərə qarşı mübarizə, qazon baxımı, hovuz təmizliyi və digər ev xidmətləri sahələrində tətbiq olunan bir iş idarəetmə platformasıdır. Zərərvericilərə qarşı mübarizə aparan məhsullar istehsal edən Anstar-a məxsus olan proqram, ev zəngləri edən işçiləri izləməyə kömək edir. Müştəri portalına faktura şablonları, planlaşdırma interfeysləri və məhsul izləmə də daxildir.

Verilənlər bazasına sızan məlumatlar daxil idi:

  • Avtomatik giriş bağlantıları
  • İstifadəçilərin e-poçt ünvanları
  • Müştərilərin elektron poçt ünvanları
  • Tam adlar
  • Müştərilərin telefon nömrələri
  • Ünvanlar
  • GPS yerləri
  • IP ünvanları
  • İstifadəçilərə və ya müştərilərə göndərilən e-poçtlar və mətnlər
  • Hesablama məlumatları
  • Kredit kartının tam məlumatları
  • Filtrlənmiş parollar
  • İmzalar
  • İş saytlarının şəkilləri
  • Şərhlər və ya təlimatlar

Bazada kəşf etdiyimiz ən təsirli məlumat, hər kəsə bir şirkətin geribildirim sisteminə birbaşa giriş verən avtomatik giriş bağlantısı idi. Sırtdakı qeydlər ətraflı və həssas müştəri məlumatlarını, həmçinin şirkətin geniş inzibati infrastrukturunu əhatə edirdi.

Məlumatların çoxu bazada da mövcud idi; lakin, yalnız son 30 gündəki günlükləri gördük. Verilənlər konfiqurasiyasına əsasən verilənlər bazası, logları emal və ya analiz üçün başqa bir sistemə göndərmədən 30 gündən çox olmayan müddətdə saxlayırdı..

Verilənlər bazasında əldə etdiyimiz digər məlumatlara əsasən mümkündür. Buna baxmayaraq daha mürəkkəb bir layihə olardı.

Bu Fieldwork portalına giriş haqqında bir e-poçt şablonu üçün bir qeyddir. Bu məlumatlar daxil edilmişdir ictimaiyyətə açıq olmayan e-poçt ünvanları müştərilərin görmək üçün. Şifrə burada açıq verilməsə də, verilənlər bazasının digər hissələrində müvafiq məlumatların tapılması imkanını açıq buraxdı.

Geniş bir miqdar tapdıq ətraflı rabitə məlumat qeydlərində. Bu e-poçt, Fieldwork proqramını istifadə edən bir zərərvericiyə qarşı mübarizə şirkətindən şirkətin bir müştərisinə göndərildiyi kimi görünür. The müştəri hesab kredit kartlarının son dörd rəqəmini açıqladı.

Sızma digər məlumatların xüsusiyyətlərinə əsaslanaraq mənfi təsir göstərə biləcək standart bir doğrulama prosesidir. Pis aktyor bundan faydalana bilərdi.

Bu günlük də olduğunu göstərir məlumatlarda əldə edilə bilən fotoşəkillər. Bir istifadəçini də ifşa etdi IP ünvanı.

Bu şəkil içəridə bağlandı açıq Amazon kovası məlumatları aşkar etdik.

Bu rabitə qeydləri yalnız təyinatın nə vaxt olduğunu deyil, həm də ehtiva etdiyini söyləyir binaya daxil olmaq üçün xüsusi təlimatlar. Bu çox daxildir siqnal kodları, kilid qutusu kodları və şifrələr müştəri tərəfindən açıqlanmışdır. Müştərilərin açarlarını gizlətdikləri yerləri şərh edən digər qeydləri tapdıq.

Sahə işlərindən istifadə edən şirkətlərin bir çoxunun açıq ünvanları var, lakin bu məlumatlar da verir müştəriləri haqqında məlumat şirkətlərin xalqa açıqlamadıqlarını. Həm də şirkətin lisenziya nömrəsini təqdim edir.

Bu giriş şifrəni gizlədir, lakin bizə aydın bir şey verir e-poçt ünvanları bir hesab ilə əlaqəli. Digər qeydlərdəki məlumatlara əsasən, pis aktyorun hələ də əskik məlumatları əldə edə bilməsi mümkündür.

Hər hansı bir müştəri identifikasiyası olmadan belə kredit kartının tam nömrəsi, ilə istifadə müddəti və a CVV nömrəsi görünürdü.

Məlumatların pozulması təsiri

Var idi geniş məlumat daxil edilmişdir məlumatlarda, yalnız 30 günlük giriş olmasına baxmayaraq. Sahə işləri bəzi yerlərdə parolları süzsələr də, gördüyümüz bəzi şablonlar verildi hesab etimadnaməsini tapmaq barədə ətraflı məlumat. Bir də sərbəst giriş əldə etdik avtomatik giriş linki bazaya daxil edilmişdir. Bu, müştəri portalına daxil olmağa imkan verdi.

Portala giriş a xüsusilə təhlükəli məlumat. Pis aktyor bu girişdən yalnız müştəridən və orada saxlanan inzibati sənədlərdən istifadə etməklə yararlana bilər. Onlar da edə bilərdilər şirkəti hesabdan bağlayın geri dəyişikliklər etməklə. Giriş məlumatlarının dəyişdirilməsində iştirak edən identifikasiya addımları olsa belə, bu məlumatların bir hissəsinin açıq verilənlər bazasında olması mümkündür.

Bundan əlavə, giriş bağlantılarını təşkil etmək asan olsaydı, zərərli niyyəti olan kimsə onları asanlıqla xilas edə bilər. Bu vəziyyətdə məlumat bazasının bağlanmasının əhəmiyyəti olmaz. Hələ də olacaqdılar çox sayda hesaba birbaşa giriş. Digər hesab etimadnaməsini verilənlər bazasında saxlamaq hər zaman bir fürsət idi, ancaq daha çox vaxt aparan və çətin bir iş olardı. Geri satın alma portalına giriş kiminsə edə biləcəyi deməkdir istənilən vaxt şirkətin qeydlərini açın, Sahə işləri pozuntu düzəldildikdən sonra da.

Əhəmiyyətli bir miqdar var məkan məlumatları verilənlər bazasına daxil olmaq, portal girişi ilə birlikdə ağır nəticələrə səbəb olur. Bu imkanları açır şəxs oğurluğu və ya hücumlar. Nəinki iş ünvanlarımız və GPS koordinatlarımız var, həm də var bir binaya və ya ofisə necə girmək barədə ətraflı təsvirlər. Müştərilər həyəcan kodlarını və ya açarlarına necə girmək lazım olduğunu açıqladılar sığorta nəticələri həmçinin. Sığorta şirkətləri edə bilər bir siyasət boş Sığorta sahibi səhlənkarlığı sıçrayışa səbəb olarsa.

Amazon foto kovasında görünə bilən fotoşəkillər bir yerin daha bir təsdiqi ola bilər. Bunlar da ola bilər bir müştərinin dəyərli inventar olduğunu açıqladı. Yer məlumatı ilə bir oğru bilər təyin olunmamış ara vermək və müştəri fondu ilə yola çıxmaq.

Bu hücumlardan hər hansı biri məlumatların pozulmasına görə baş vermiş olsaydı, bu dərin olardı Sahə işlərinə güvənən şirkətlərə təsir göstərir bizneslərini qurmaq üçün. Başlayanlar üçün bir pozuntu ola bilər sarsıdır müştərilərin etimadı. Bu, özlərini daha yaxşı qorumaq üçün sızan proqramdan istifadə etməyən bir rəqabətçi şirkət işlədən müştərilərə yol aça bilər.

Süzülməmiş ilə kredit kartı məlumatı verilənlər bazasına və portalda daxil olmaq, zərərli oyunçu üçün çox asandır saxta ittihamlar irəli sürmək bu kredit kartlarında. Kredit kartı şirkətləri həssas kart məlumatlarının güclü şifrələnməsini tələb edir, halbuki PCI qaydalarına uyğun olaraq identifikasiyadan sonra CVV nömrəsi saxlanılmamalıdır. Bir satın alma və ya hətta bir kart kopyalamaq üçün lazım olan bütün məlumatları əldə edə bildik. Tapdığımız məlumatlarda bu kart nömrələrinin Sahə işlərindən istifadə edən şirkətlərə və ya müştərilərə aid olub-olmadığı məlum deyildi. Bununla birlikdə, portal girişi müəyyənləşdirməyi asanlaşdırır.

Birbaşa portal girişi xaricində, etdiyimiz etimadnamələr də Fieldwork hesabından kənarda təsir edə bilər. Bir hesabdan etimadnamələr tez-tez başqa bir hesaba daxil olmaq üçün istifadə edilə bilər. Tam ad və ünvanlarımız olduqda istifadəçi şəkli qura bilərik. Pis aktyor bu məlumatı daha çox məlumat toplamaq üçün götürə bilər. Daha sonra bu məlumatdan şəxsiyyətini oğurlamaq üçün istifadə edə bilərlər. Bəziləri hətta istifadəçi adına yeni hesablar aça bilər.

E-poçt ünvanlarını açma təhlükəsi zərərli oyunçulara aiddir onları фишинг hücumları üçün istifadə. Bir şirkətin müştəri siyahısına şirkətin elektron poçt ünvanı ilə birlikdə baxmaq olarsa, daha asandır zərərli proqramları ehtiva edən bir e-poçt açaraq müştərilərin axmaqlığı. Bu edə bilər hakerlərə birbaşa giriş verin bu açıq verilənlər bazası ilə əlaqəsi olmayan bir sistemə. Şirkətlər müştərilərin məlumatlarını etibarlı şəkildə qorumaq üçün mənəvi öhdəlik daşıyırlar. Bu vəziyyətdə, Fieldwork istifadə edən hər hansı bir şirkət bunu dəstəkləmədi.

Hackerlər bir sistemə daxil ola bildikdə, onlar üçün açıq olan bir çox seçim var. Əməliyyatları bağlamaq, şirkətə külli miqdarda pul xərcləyəcəkdir. Bir haker oğurlanmış məlumatları rəqib şirkətə sata bilər. Sahə işləri öz məhsullarını kiçik müəssisələrə satır, onların maliyyə imkanları az olduqda, hack ilə bağlanır.

Nəhayət, məlumatlarda imzalar aşkar etdik. Tərəfindən bir imza şəklini çıxarmaq, pis bir aktyorun başqa bir vasitəsi var saxtakarlıq yolu ilə şəxsiyyət oğurluğu. Rəqəmsal imzaların əksəriyyəti bir IP ünvanına bağlanır. Bununla birlikdə, kredit kartı nömrəsi, IP ünvanı və imzası da daxil olmaqla bir istifadəçinin bütün etimadnaməsi varsa, saxtakarlıq vəzifəsi sadələşdirilir.

Mütəxəssislərin tövsiyələri

Var bir neçə sadə addım Sahə işləri başlanğıcdan verilənlər bazasını qorumaq üçün lazım ola bilər. Burada bir neçə pozuntunun qarşısını almaq və ya düzəltmək üçün mütəxəssis məsləhətləri bir verilənlər bazasında.

  1. Serverlərinizi təhlükəsiz edin.
  2. Düzgün giriş qaydalarını tətbiq edin.
  3. Doğrulama tələb etməyən bir sistemi heç vaxt internetə buraxmayın.

İşinizi necə qorumaq barədə daha dərindən bələdçi üçün veb saytınızı və onlayn verilənlər bazasının hakerlərdən necə qorunacağına baxın.

Qəzanı necə kəşf etdik

Tədqiqat qrupumuz geniş yayılmış bu məlumat sızmasını aşkar etdi veb-xəritə layihəsi. Ran və Noam başçılıq edərək, portları tarayırlar məlum IP blokları. Oradan komanda axtara bilər sistemdəki açılışlar. Bir sızma tapdıqdan sonra, kiber təhlükəsizlik təhlükəsizliyi ilə bağlı biliklərindən istifadə edirlər verilənlər bazasının şəxsiyyətini təsdiqləyin.

Hər dəfə bir pozuntu aşkar etdikdə, biz sahibi ilə əlaqə saxlayın sızan məlumatlara xəbərdar etmək üçün verilənlər bazası. Mümkünsə, sistemdəki açılışlardan təsirlənən digərləri də məlumatlandıracağıq. Bu layihə ilə hədəfimiz bir yaratmaqdır daha etibarlı və daha etibarlıdır hər yerdə istifadəçilər üçün internet.

Haqqımızda və əvvəlki hesabatlar

vpnMentor dünyanın ən böyük VPN baxış veb saytıdır. Tədqiqat laboratoriyamız səy göstərən pro bono xidmətidir onlayn cəmiyyətin özünü müdafiə etməsinə kömək edin təşkilatların istifadəçilərinin məlumatlarını qorumağı öyrədərkən kiber təhdidlərə qarşı.

Bu yaxınlarda Vascepa qəbul edən 78 min xəstəyə təsir göstərən kütləvi məlumat pozuntusu aşkar etdik. Biz xSocialMedia-da geniş yayılmış məlumat pozuntusuna məruz qaldıq. Ayrıca VPN Kaçak Hesabatı və Məlumat Gizlilik Statistikaları Hesabatı oxumaq istəyə bilərsiniz.

Xahiş edirəm bu hesabatı Facebook-da paylaşın və ya tweet edin.

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map