Hesabat: Yetkin saytdakı məlumatların pozulması bütün istifadəçilərin məxfiliyini pozur


Noam Rotem və Ran Locarın rəhbərliyi ilə vpnMentorun tədqiqat qrupu bir kəşf etdi böyüklər sayt Luscious məlumat pozulması.

Şirəli, ilk növbədə cizgi üzərində qurulmuş bir niş pornoqrafik görüntü saytıdır, istifadəçi tərəfindən yüklənən məzmun. Komandamızın apardığı araşdırmaya əsasən sayt var 1 milyondan çox qeydiyyatdan keçmiş istifadəçi. Hər bir istifadəçinin təfərrüatları araşdırma yolu ilə əldə edilə bilən bir profil var. 

Şəxsi profillər istifadəçilərə Luscious-da məzmun yükləməyə, paylaşmağa, şərh verməyə və müzakirə etməyə imkan verir. Bütün bunlar bir müddətdir başa düşüləndir şəxsiyyətlərini istifadəçi adlarının arxasında gizlətmək.

Məlumatları pozdu komandamız bu anonimliyi güzəştə aparır potensial hakerlərə icazə verməklə istifadəçilərin şəxsi məlumatlarına, o cümlədən şəxsi elektron poçt ünvanlarına daxil olmaq. Luscious’un məzmunu olduqca həssas və özəldir istifadəçilər bir sıra hücumlara və istismara inanılmaz dərəcədə həssasdırlar zərərli hakerlər tərəfindən.

Aşkaretmə və Sahibin reaksiya qrafiki

  • Aşkar edilən tarix: 15/08/19
  • Tarix sahibi əlaqə saxladı: 16/08/19

Verilənlər bazasında girişlərin nümunəsi

Məlumat pozulması komandamıza verdi 1.195 milyon istifadəçi hesabına giriş şirəli. Bunların hamısı istifadəçilərin şəxsi məlumatlarını ortaya qoyaraq güzəştə getdi potensial dağıdıcı nəticələr. 

Şəxsi şəxsi istifadəçi təfərrüatları daxil edildi:

  • İstifadəçi adları
  • Şəxsi e-poçt ünvanları
  • İstifadəçi fəaliyyəti qeydləri (qoşulma tarixi, ən son giriş)
  • Yaşayış yeri / yeri
  • Cins

Bəzi istifadəçilər e-poçt ünvanları, həssaslığını artıraraq, tam adlarını göstərdi istismara və kiber cinayətə.

Bunu qeyd etmək lazımdır Luscious hesablardakı 20% e-poçtun qeydiyyatdan keçmək üçün saxta e-poçt ünvanlarından istifadə etdiyini təxmin edirik. Bu, onu göstərir bəzi şirəli istifadəçilər aktiv şəkildə əlavə addımlar atırlar anonim qalmaq. 

İstifadəçi davranışları & Fəaliyyətlər

Məlumat pozuntusu da verdi istifadəçi fəaliyyətlərinin tam icmalı. Bu kimi şeylərə baxmağımıza imkan verdi:

  • Onların yaratdıqları albomların sayı
  • Video yükləmə 
  • Şərhlər 
  • Blog yazıları
  • Sevimlilər
  • İzləyicilər və hesablar izlədi
  • Onların İstifadəçi ID nömrəsi – beləliklə, onların aktiv olub-olmadığını bilə bilərik

Bu məlumatların bir hissəsi digər istifadəçilər üçün görünsə də, bunun çox hissəsi veb saytın bazasında gizlədilmişdir. Bütün bunlar birləşmiş məlumat insanların Luscious istifadə necə dəyərli fikir yaradır.

Komandamız da baxa bildi blog yazıları və Luscious-da yayımlanan məzmunun təfərrüatları. Buraya müəllifin təfərrüatları, yayımlandığı zaman, kateqoriya və s. Bəyənmələrin sayı da daxil edilmişdir.

Bunlardan bəziləri blog yazıları son dərəcə şəxsi idi – depresif və ya digər həssas məzmun daxil olmaqla – və anonim olaraq saxlanılır. Bu məlumatların pozulması səbəbindən, blog yazıları artıq bir çox müəllifin şəxsiyyətləri ilə birlikdə anonim deyil. 

Eyni şəkildə, Luscious-a yüklənmiş şəkillər üçün, bunları kim yaratdığını da daxil olmaqla ətraflı məlumatları olan şəkillər indeksini əldə etdik.

The Təsirə məruz qalan 1 milyon istifadəçi, yerləşdikləri yerləri ilə birlikdə dünyada mövcuddur pozuntuda. Araşdırmalarımız zamanı Avropa, Asiya, Avstraliya və Amerika ölkələrindən istifadəçi profillərinə daxil ola bildik. 

Məsələn, verilənlər bazasının 1.25% -ni təşkil edən “.fr” -də təxminən 13,000 e-poçt ünvanlarını tapdıq. Gmail kimi e-poçt hostinqindən istifadə edən fransızların sayını nəzərə alsaq – “.com” ilə bitən və @ gmail.com ünvanlarında gördüyümüz fransız adlarına əsaslanaraq- Fransız istifadəçilərinin əsl sayının təxminən 3 qat artacağını təxmin edirik: təxminən 40.000.

Aşağıda Gmail hesabları və Similarweb statistikalarını nəzərə alaraq e-poçt ünvanlarına və həqiqi nömrələrə dair qiymətləndirmələrimizə əsasən şirli istifadəçilərin beynəlxalq paylanmasını əks etdirən bir cədvəl..

 ÖlkəDB-də tapılan e-poçt ünvanlarına əsaslanan istifadəçilərin qiymətləndirməsi
 Fransa  40.000
 Hollandiya 8.000
 İsveç 6.000
 Almaniya 50.000
 İspaniya 7.000
 Rusiya 35.000
 İsrail 1.000
 İtaliya 18.000
 Braziliya 10.000
 Kanada 15.000
 Avstraliya 5.000
 Polşa 20.000
 Yaponiya 6.000
 Hindistan 6.000

Daha çox narahatlıq doğuran məsələ bu olmasıdır bir çox istifadəçi rəsmi hökumət elektron poçtlarında Luscious-a qoşuldu. Braziliya, Avstraliya, İtaliya, Malayziya və Avstraliyadakı istifadəçilərdən bunun nümunələrini tapdıq. 

DomainDB-də tapılan e-poçt ünvanlarına əsaslanan istifadəçilərin qiymətləndirməsi
.edu Mindən azdır
.gov Onlarla

Bu, əlavə xeyir əlavə edir yalnız istifadəçilərin deyil, həm də işəgötürənlərin də həssaslığı. İşçinin elektron poçt ünvanlarına çıxışı ilə, cinayətkar hakerlər bir sıra yollarla dövlət qurumlarını və şöbələrini hədəfə ala bilərlər.

Məlumatların pozulması təsiri

Bu məlumat pozuntusunun istifadəçilərə təsiri ola bilər şəxsən və maddi olaraq dağıdıcı. Luscious kimi böyüklər saytlarında fəaliyyətdir təbiətdə ən özəldir, və heç kim heç vaxt bunun üzə çıxmasını gözləmir.  

Onun məruz qalması ola bilər Qurbanın münasibətləri və şəxsi həyatları üçün zərərlidir. 

Məlumat Luscious ‘verilənlər bazasında mövcuddur cinayətkar və zərərli hakerlərə bu məlumatları qanunsuz qazanc və istifadəçilər üçün istifadə etmək üçün bir çox seçim verir. 

Zəhərlənmə

Zəhərlənmə bir internetin araşdırılması aktına aiddir istifadəçi şəxsiyyəti və ümumiyyətlə zərərli niyyəti ilə onu açıq etmək. Şirli istifadəçilərin e-poçt ünvanlarına və məkanlarına girməklə, hakerlər asanlıqla istifadə edə bilirdilər profillərini sosial mediada yerləşdirin və oxşar saytlar. 

Bu məlumatla, şüurlu bir istifadəçi veb saytdakı fəaliyyətləri üçün açıq şəkildə məruz qalma riski altındadır. Bunlar ola bilərdi təcavüz, təhqir və ya detalları paylaşmaq üçün hədəflənir ailələri, dostları və işəgötürənləri ilə birlikdə. 

Məzmunun Luscious’a aid olmasını nəzərə alaraq, belə bir kampaniyanın təsiri dağıdıcı ola bilər. 

Qəsb

Şirli bir istifadəçinin şəxsiyyəti pozulduqdan sonra, onları yalnız təhqir etməkdən daha çox hədəfə almaq olar. Hakerlər bir fidyə verməyincə istifadəçiləri ifşa edə biləcəkləri ilə təhdid edə bilərlər. Bu məlumat pozuntusunun həssaslığını nəzərə alaraq, qurbanlar olduqca həssasdırlar və ödəmə ehtimalı yüksəkdir. 

Lakin, bir fidyə ödəmək, təfərrüatlarınızın hər halda aşkarlanacağına zəmanət vermir. Bu məlumatlar oğurlandıqdan sonra təkrarən istifadə oluna və satıla bilər. Bu istifadəçilər üçün açıqdır bir hakerdən davam edən qəsb, Luscious üçün potensialı ilə Hələ başqası tərəfindən sızan fəaliyyət.

Fişinq

Phishing yaradılışına aiddir qurbanları aldatmaq üçün göndərilən təqlid e-poçtları parol və ya digər güzəştli məlumat vermək, maliyyə hesablarına və ya kredit kartlarına daxil olmaq və zərərli proqramları cihazda yerləşdirmək. 

Bir haker və ya kiber cinayətkar hədəfi elektron poçtla göndərir Qurbanın artıq istifadə etdiyi qanuni bir iş və ya təşkilat kimi görünmək üçün hazırlanmışdır, istədiyiniz məlumatı və ya bitki zərərli proqramı çıxarmaq. 

E-poçt ünvanları və məkan kimi şəxsi məlumatları aşkar etməklə, şəffaf məlumatların pozulması cinayətkarlara gələcək istismar, fırıldaqçılıq və ya oğurluq üçün hədəf istifadəçilərə kömək edir. Bu məlumatdan istifadə edə bilərlər effektiv saxta elektron poçtlar yaradın və birbaşa istifadəçinin e-poçt qutusuna göndərin – bununla da onlar spam və istənməyən poçtlardan kənarda qalırlar.

Rəqibin hərəkətləri

Bu məlumat pozuntusu da şirəli həssas edir. 1 milyondan çox istifadəçi və ayda 20 milyon ziyarətçi ilə niş içərisində bir aparıcı veb sayt. Şübhəsiz ki, çox sərfəlidir. 

Şəxsi məlumatlarla artıq ortaya çıxdı, Şirəli rəqiblər istifadəçi davranışlarını da analiz edə bilər – sevdikləri, nəyi bəyəndikləri, digər istifadəçilərlə necə qarşılıqlı olduqları – və onları daha yaxşı alternativlərlə hədəfləyin. Adətən, onlayn müəssisələr bütün bu məlumatları olduğu kimi etibarlı şəkildə gizli saxlayırlar biznes modeli və gəlirləri üçün böyük bir risk təqdim edir.

Mütəxəssislərin tövsiyələri

Bu məlumat sızması asanlıqla qarşısını almaq olardı Luscious biraz alsaydı əsas təhlükəsizlik tədbirləri. Bunlar ölçüsündən asılı olmayaraq istənilən şirkət tərəfindən təkrarlana bilər:

  1. Serverlərinizi təhlükəsiz edin.
  2. Düzgün giriş qaydalarını tətbiq edin.
  3. Doğrulama tələb etməyən bir sistemi heç vaxt internetə buraxmayın.

İstifadəçilər üçün

Sizə təklif edirik dərhal Şirəli hesab məlumatlarınızı dəyişdirin, istifadəçi adınızı və əlaqəli e-poçt ünvanınızı daxil edin.  

Yetkin temalı saytlar və ya həssas bir təbiətə aid digər saytlar üçün həmişə şəxsi e-poçt ünvanınızla tamamilə əlaqəsi olmayan bir istifadəçi adı yaradın və ya hər hansı digər onlayn hesab. 

Luscious’da yerinizi aşkar etmisinizsə, bu məlumatı profilinizdən silin. Siz də edə bilərsiniz bir VPN istifadə edərək yerinizi dəyişdirin.

Ümumiyyətlə internet məxfiliyiniz və həyatınızda və işinizdə bu kimi məlumat pozuntularından necə qorunmaq üçün daha çox məlumat əldə etmək üçün onlayn məxfiliyə dair tam təlimatımızı oxuyun..

Qəzanı necə və niyə kəşf etdik

VpnMentor tədqiqat qrupu, Luscious’ın verilənlər bazalarındakı pozuntuları nəhəng bir veb Xəritəçəkmə layihəsi çərçivəsində tapdı. Hakerlərimiz, müəyyən IP bloklarını yoxlamaq və zəif boşluqlar üçün sistemlərdə açıq dəlikləri sınamaq üçün port taramasından istifadə edirlər. Məlumatların sızması üçün hər bir çuxuru araşdırırlar. 

Məlumat pozuntusu tapdıqda, onlar verilənlər bazasının şəxsiyyətini yoxlamaq üçün ekspert texnikalarından istifadə edin. Biz sonra şirkəti xəbərdar edin pozuntuya. Mümkünsə, pozuntudan təsirlənənlərə də xəbərdar edəcəyik.

Tamamilə təmin edilməmiş və şifrələnməmiş olduğu üçün komandamız bu verilənlər bazasına daxil ola bildi. 

Şirkət adətən URL istifadə üçün nəzərdə tutulmayan bir Elasticsearch verilənlər bazasından istifadə edir. Bununla birlikdə brauzer vasitəsi ilə daxil olmaq və URL axtarış meyarlarını istənilən vaxt vahid indeksdən sxemləri ifşa etmək üçün idarə edə bildik.. 

Bu veb Xəritəçəkmə layihəsinin məqsədi bütün istifadəçilər üçün internetin etibarlı olmasına kömək edin. 

Etik hakerlər olaraq bir şirkətə məlumat vermək məcburiyyətindəyik onların onlayn təhlükəsizliyindəki qüsurları aşkar etdikdə. Bu, şirkətlərin məlumat pozması bu kimi şəxsi məlumatları ehtiva etdikdə xüsusilə doğrudur.

Ancaq bu etika həm də ictimaiyyət qarşısında bir məsuliyyət daşımağımız deməkdir. Şüurlu istifadəçilər də məlumatların pozulmasından xəbərdar olmalıdırlar.

Haqqımızda və əvvəlki hesabatlar

vpnMentor dünyanın ən böyük VPN baxış veb saytıdır. Tədqiqat laboratoriyamız, istifadəçilərin məlumatlarını qorumaq üçün təşkilatlara məlumat verərkən onlayn cəmiyyətə kiber təhdidlərdən qorunmasına kömək etməyə çalışan bir xidmətdir. Bu yaxınlarda 80 milyon ABŞ ev təsərrüfatına təsir göstərən böyük bir məlumat pozuntusu aşkar etdik. Biostar 2-də baş verən bir pozuntu 1 milyondan çox insanın biometrik məlumatlarını pozduğunu da aşkar etdik. Ayrıca VPN Kaçak Hesabatı və Məlumat Gizlilik Statistikaları Hesabatımızı oxumaq istəyə bilərsiniz.

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map