Личные данные всего населения Эквадора могли быть утечены

Некоторые утечки данных больше и более эффективны, чем другие. Но как мы их точно классифицируем? Когда инцидент безопасности данных может считаться серьезной проблемой, и когда это не так уж важно? Чувство масштаба было несколько размыто.

Например, если 50 тысяч человек потеряют свои данные, вы можете подумать, что это серьезное нарушение. Однако, когда вы понимаете, что миллиарды пользователей взаимодействуют с сотнями тысяч онлайн- и офлайн-сервисов каждый день, вы начинаете понимать, что это просто капля в море. Однако, когда затрагивается население всей страны, нарушение никогда не может считаться небольшим.

Незащищенный сервер Elasticsearch предоставляет персональные данные миллионов эквадорцев

Еще раз, утечка информации была найдена командой исследователей vpnMentor во главе с Ноамом Ротемом и Ран Локаром. За последние несколько месяцев они участвовали в проекте веб-картографирования, в результате которого были обнаружены десятки плохо защищенных баз данных, которые годами передавали секретную информацию. Пару недель назад они обнаружили следующую в очень длинной линейке баз данных Elasticsearch, которая обращалась к Интернету без какой-либо защиты, но они быстро поняли, что это не будет обычной утечкой данных.

Быстрый анализ данных показал, что все люди пострадали граждане Эквадора. Удивительно, однако, что сервер Elasticsearch содержал 20,8 миллиона записей - на 4,2 миллиона больше, чем нынешнее население страны Южной Америки. Исследователи поняли, что там может находиться каждый эквадорец, а также немало умерших. Чтобы лучше понять масштабы инцидента, Ротем и Локар связались с Каталином Симпану из ZDNet, который помог им просмотреть базу данных и выяснить, что происходит.

Подтвердить законность данных было не так сложно. У репортера ZDNet не было абсолютно никаких проблем с поиском записей о президенте Эквадора Ленине Морено, а также он нашел личные данные Джулиана Ассанжа, которому, как вы, вероятно, знаете, было предоставлено убежище посольством Великобритании в Южной Америке. Легкость, с которой информация была доступна, была достаточно пугающей, но когда они увидели, сколько данных было на сервере Elasticsearch, Rotem, Locar и Cimpanu были в ужасе.

Вытекающий сервер обнаружил множество конфиденциальных данных

Cimpanu разделил утечку данных на две отдельные группы - информацию, собранную гражданским реестром Эквадора, и информацию, собранную частным бизнесом. Вероятно, не должно быть слишком удивительным, что в реестре актов гражданского состояния имеется достаточно информации о гражданах Эквадора. Это включает в себя полные имена, даты рождения, места рождения, номера телефонов, адреса и информацию о семейном положении людей, месте работы и образовании. В дополнение ко всему этому база данных включала то, что эквадорцы называют кедлами. Cedula - это национальный идентификационный номер, который в основном эквивалентен номеру социального страхования США.

Если вы вор для личных данных, данные такого рода станут предметом снов. Тем не менее, негерметичный сервер содержал гораздо больше. Было достаточно информации о членах семьи людей, чтобы восстановить практически каждое семейное древо в стране, включая личные данные почти 7 миллионов детей. Еще раз, мы говорим об именах, домашних адресах, местах рождения и кедлах.

Утечка уже становилась ужасной, и Cimpanu, Locar и Rotem даже не изучили данные, собранные частными организациями.

Названия нескольких частных предприятий присутствовали в базе данных, но те, которые выделялись из толпы, были Banco del Instituto Ecuatoriano de Seguridad Social или BIESS, общественный банк, и Asociación de Empresas Automotrices del Ecuador или AEADE, ассоциация компаний, работающих в автомобильной промышленности.

Было около 7 миллионов записей BIESS, содержащих данные о финансовом благополучии людей, включая состояние банковского счета, остаток на банковском счете, тип кредита и сведения о работе. Записи AEADE раскрыли информацию о 2,5 миллионах владельцев автомобилей. Это включает в себя марку и модель автомобиля, его номерные знаки, дату регистрации и т. Д. Сопоставьте эти данные с остальной утечкой информации, и вы увидите, что безопасность как автомобиля, так и его владельца может быть поставлена под серьезную угрозу риск.

Кто несет ответственность за утечку?

Хотя он содержал информацию о людях, которых больше нет среди нас, это не была забытая старая база данных, которая была составлена несколько лет назад. Некоторая информация в нем была на самом деле совсем недавней, что означало, что снятие ее как можно быстрее было даже более важным.

Немного покопавшись, Rotem, Locar и Cimpanu обнаружили, что неправильно настроенный сервер Elasticsearch принадлежал аналитической компании Novaestrat. Что им не удалось узнать, так это то, как «Новаэстрат» получил в свои руки данные и был ли он уполномочен делать это, потому что многочисленные попытки связаться с бизнесом оказались безуспешными. К счастью, Эквадорская группа реагирования на компьютерные инциденты (CERT) оказалась гораздо более полезной, и после того, как она была задействована, база данных была отключена.

На данный момент невозможно сказать, был ли получен утечка данных кем-то кроме исследователей vpnMentor и репортера ZDNet. Граждане Эквадора могут только надеяться, что киберпреступники опоздали на вечеринку. Однако, учитывая уровень раскрываемых деталей, их приоритетом номер один должно быть то, что они не спускают глаз с признаков злоупотребления их информацией.