На незащищенном сервере найдено 1,2 миллиарда записей личных данных

Те из вас, кто активно интересуется кибербезопасностью, не будут слишком удивлены, обнаружив, что исследователи раскрыли открытие еще одного широко открытого сервера, который содержал огромное количество личной информации. На этот раз масштаб утечки абсолютно ошеломляет, но что еще более разочаровывает, так это тот факт, что когда вы узнаете, что именно произошло, вы увидите, насколько неизбежным был этот инцидент.

Исследователи обнаруживают 4 ТБ личной информации на незащищенном сервере Elasticsearch

16 октября Винни Троя и Боб Дьяченко наткнулись на сервер Elasticsearch, который не был защищен паролем и был доступен любому, у кого был браузер и который знал, где искать. Эти два не новы для такого рода вещей. Фактически, Боб Дьяченко, в частности, несет ответственность за раскрытие довольно многих подобных утечек. Даже он был довольно шокирован размером предоставленных данных в этом конкретном случае, хотя.

База данных занимала колоссальные 4 ТБ, и на ней хранились огромные 4 миллиарда учетных записей. Дубликатов было довольно много, но даже после их удаления исследователи просматривали личные записи более 1,2 миллиарда человек. Индексы в базе данных не были единообразными, и открытые данные варьировались от записи к записи. После обработки информации эксперты обнаружили, что открытый сервер Elasticsearch содержит, среди прочего:

• Более 1 миллиарда личных адресов электронной почты.
• Более 400 миллионов телефонных номеров.
• Более 420 миллионов ссылок на LinkedIn.
• Более 1 миллиарда URL-адресов Facebook и идентификаторов аккаунтов, а также другие данные, связанные с присутствием пользователей в социальных сетях.

База данных не содержала никаких данных кредитной карты, номеров социального страхования или паролей, но пострадавшие лица все еще должны следить за любыми признаками кражи личных данных и мошенничества. Дьяченко и Троя поделились утечкой данных с Троем Хантом, который загрузил их в службу оповещения о взломе данных «Have I Been Pwned», что означает, что вы можете пойти туда и проверить, не затронула ли вас утечка.

Излишне говорить, что, как только они обнаружили информацию, исследователи безопасности предприняли необходимые шаги, чтобы перевести ее в автономный режим. ФБР было проинформировано, но прежде чем правоохранительные органы смогли принять меры, база данных была закрыта, предположительно, ее владельцем. Невозможно сказать, когда данные появились на сервере Elasticsearch впервые и кто получил к ним доступ, когда они были обнародованы.

Кто виноват?

Каждая из записей в базе данных имела поле, помеченное как «источник», и значение в нем было «PDL» или «Oxy». «PDL» означает People Data Labs, а «Oxy» происходит от Oxydata. People Data Labs и Oxydata - две компании по сбору данных, которые собрали все эти записи.

Бизнес компании по обогащению данных вращается вокруг сбора как можно большего количества общедоступной информации о вас и создания подробного профиля на основе того, что он находит. Этот профиль, наряду с миллионами других, затем продается любому желающему заплатить заранее установленную плату. People Data Labs и Oxydata действительно собирали информацию. Это не значит, что они это слили.

Обнаружив утечку, Винни Троя поделился своими находками с Лили Хэй Ньюман из Wired, которая сообщила об этом и связалась с People Data Labs и Oxydata, чтобы спросить их, что они об этом думают. Обе компании признали, что они могут быть основным источником информации, которая была помещена в базу данных, но обе они настаивали на том, что они не пострадали от нарушения данных.

По всей вероятности, клиент People Data Labs и Oxydata заплатил за всю эту информацию, поместил ее в одну базу данных и оставил ее на неправильно настроенном сервере Elasticsearch. Мартинас Симанаускас, представитель Oxydata, сказал Wired, что его компания имеет соглашения со своими клиентами, разработанные для обеспечения безопасной обработки данных. Тем не менее, даже он признал, что, как только у клиента есть информация, варианты предотвращения неправильного использования более или менее отсутствуют.

Это было главной темой для обсуждения в блоге Троя Ханта, посвященном разоблачению. Прискорбным фактом является то, что такие компании, как People Data Labs и Oxydata, занимающиеся обогащением данных, будут продолжать собирать нашу личную информацию, где бы они ее ни находили. Они также будут продолжать продавать его, и люди и организации, которые за него платят, будут время от времени оставлять его открытым. Независимо от того, нравится нам это или нет, наши данные собираются, систематизируются и копируются много раз, и они безопасны для отключения сетевого кабеля и жизни, как будто снова 1960 год, с этим мы почти ничего не можем поделать. Учитывая все это, тот факт, что эта конкретная утечка произошла не раньше, на самом деле довольно удивителен.