Les données personnelles de 20 millions de contribuables russes ont été révélées, mais aucune violation de données n'a encore été confirmée

Quelqu un a fait une erreur de configuration de base et à cause de cela, des millions de citoyens russes ont maintenant une très bonne raison être inquiets. Comme vous avez peut-être déjà deviné, cette personne a mis les données des personnes sur un serveur, puis a pas réussi à la protéger avec un mot de passe.

Le cluster Elasticsearch mal configuré était hébergé par Amazon Web Services et a été découvert par des chercheurs de Comparitech dans le cadre de leurs efforts continus pour trouver et sécuriser ce type de fuite de données. Le cluster contenait plusieurs bases de données, et la plupart entre elles contenaient des "données aléatoires et de source publique". Deux des bases de données, cependant, regorgeaient informations personnelles sensibles, et les chercheurs de Comparitech ont immédiatement appelé Bob Diachenko pour apporter son aide dans le cadre de enquête.

20 millions de dossiers fiscaux et personnels exposés

La première base de données contenait 14 millions enregistrements rassemblés entre 2010 et 2016, et la seconde contenait plus de 6 millions enregistrements amassés entre 2009 et 2015. Les données exposées comprenaient:

• Des noms
• Adresses
• Numéros de passeport
• Les numéros de téléphone
• Numéro identification fiscale
• Renseignements sur employeur
• Montants des taxes

Les chercheurs de Comparitech ont admis qu ils ne connaissaient pas les rouages du système fiscal russe et qu il était en effet difficile de déterminer quel type de dommages les cybercriminels pourraient causer avec ces informations. Cependant, il devrait être évident pour tout le monde que ces détails ne sont pas censés être accessibles au public.

Immédiatement après avoir trouvée, Diachenko et Comparitech ont tenté avertir le propriétaire de la base de données. Le 20 septembre, trois jours seulement après la découverte de la fuite, le cluster a été mis hors ligne. Les données sont maintenant sécurisées, ce qui est le plus important. Certaines questions restent cependant sans réponse.

Qui a collecté les données divulguées?

Identifier le propriétaire de la base de données après la découverte de telles fuites est une priorité pour les chercheurs en sécurité. À cette occasion, les experts ont appris que le cluster avait été mis en place par une personne basée en Ukraine et ils ont immédiatement envoyé des courriers électroniques.

La base de données a été retirée, mais le propriétaire a pas répondu, ce qui signifie que nous ne savons rien des personnes responsables de la fuite. Nous avons aucune idée ils ont même le droit légal de collecter ce type de données. Ce que nous savons, est que les millions de citoyens russes dont les informations figuraient dans le groupe étaient probablement pas les plus sages.

Les données ont-elles été violées?

Le propriétaire de la base de données peut également avoir la possibilité de consulter certains journaux et de déterminer si les cybercriminels ont eu accès aux données. Leur réticence à parler, cependant, signifie qu’à ce stade, nous n’avons aucun moyen de dire si les données ont été compromises.

Les chercheurs ont toutefois indiqué que la base de données avait été indexée pour la première fois par les moteurs de recherche en mai 2018. En autres termes, plus de 20 millions enregistrements contenant des informations extrêmement sensibles étaient accessibles à toute personne disposant un navigateur Web et de la bonne requête de recherche. Cela, en soi, est assez effrayant.