Ungeschützte Dating Service-Datenbank verliert persönliche Daten
Eine andere exponierte Datenbank auf einem Online-Server wurde gehackt und hat die persönlichen Daten seiner Benutzer verloren. Die betreffende Datenbank, die zu einer Dating-Website gehörte, wurde auf einem Elastisearch-Server ausgeführt und war nicht passwortgeschützt. Die Entdeckung, dass die Datenbank verfügbar gemacht wurde, wurde Ende August 2020 von Sicherheitsforschern mit vpnMentor gemacht.
Nachdem die Sicherheitsforscher die Datenbankbesitzer kontaktiert hatten, wurde es schnell heruntergefahren, aber das bedeutet nicht, dass die Datenbank nicht mit Sicherheit leckte. In der fehlerhaften Datenbank wurden insgesamt über 880 Gigabyte Push-Benachrichtigungsprotokolldateien gespeichert. Es wurde festgestellt, dass die Protokolldateien die Details von 66 Millionen Benachrichtigungen enthalten, die in den letzten vier Tagen generiert wurden, sowie die persönlichen Informationen von Hunderttausenden von Benutzern.
Der Dating-Service-Aggregator, der die Datenbank betreibt, speicherte Benachrichtigungen von über 70 verschiedenen Dating-Sites. Es stellte sich heraus, dass es sich bei vielen Benachrichtigungen um Spam handelte. Mit Nachrichten konnten Männer Partner aus Teilen der Welt wie Asien oder Osteuropa finden. Bei der Einrichtung des Systems alarmierten die neuen Benachrichtigungen die Benutzer, dass eine vermeintliche Frau eine Nachricht gesendet hatte, um die Leute zurück zum Dienst zu locken.
Persönlich identifizierbare Benutzerinformationen verfügbar gemacht
Während all dies mit Zustimmung der Benutzer durchgeführt wurde, besteht das Problem darin, dass viele persönliche Informationen beteiligt waren. Die Datenbank speicherte nicht nur die Benachrichtigungen selbst, sondern enthielt auch einen Block, der als "Debug" -Daten gekennzeichnet war und persönliche Daten der Benutzer enthielt. Zu den persönlich identifizierbaren Informationen in den Protokollen gehörten Namen, E-Mails, Geschlecht sowie Geolokalisierungs- und IP-Adressdaten.
Um die Sache noch schlimmer zu machen, enthielten die Zeichenfolgen in den Benachrichtigungen auch Links und Authentifizierungsschlüssel zu Benutzerprofilen, die schlechten Akteuren uneingeschränkten Zugriff auf Profile ermöglichen könnten, ohne dass das Benutzerkennwort erforderlich wäre. Jeder, der möglicherweise auf die ungeschützte Datenbank zugreifen konnte, konnte auf Tonnen von Benutzerinformationen zugreifen, einschließlich Profilen und früheren Nachrichten, die über den Dienst gesendet wurden.
Persönliche Informationslecks, insbesondere im Zusammenhang mit Dating-Websites und -Diensten, können zu einer Menge Ärger für die beteiligten Personen führen, einschließlich Erpressungs- und Erpressungsversuchen.
