Вот и СберСпасибо слили

На этот раз хакеры из NLB выложили дамп сервиса. В открытом доступе два .txt файла – базы данных пользователей и транзакций размером в 48 и 6.3 млн. строк соответственно. Актуальность – июнь и январь прошлого года. Помимо прочего в базах содержатся:

Файл users.txt

• email (3 млн. уникальных)
• Номер телефона (48 млн. уникальных)
• Дата рождения
• Хеш номера карты

Файл orders.txt

• email (1 млн. уникальных)
• Номер телефона (1,5 млн. уникальных)

Если не учитывать сливы СберЛогистики и СберПраво, в общей сложности, почти у трети населения страны утекли номера телефонов.
Как мы видим проукраинские хакеры пока держат слова, а что теперь будет делать Сбер? – вопрос риторический. Видимо не за горами формирование департамента оправданий.

UPD: DLBI сообщили, что номера карт захешированы алгоритмом SHA-1, а значит расшифровку значений возможно реализовать методом простого перебора.

НеКасперский

Пять стадий принятия

Вчера мы опубликовали новость об очередном сливе данных пользователей Сбера, и если вам вдруг показалось, что за этим не последовало ничего интересного, то вот вам ряд фактов, которые сложат в голове картинку реальной ситуации.

• Представители Сбера заявили, что слитая база — компиляция ранее слитых данных. Хотя, сливов СберСпасибо мы ранее и не наблюдали.

• Посты о сливе в некоторых телеграм-каналах быстро изменили повестку с порицательной на хвалебную. Полагаем, не без участия PR-отдела банка.

• Минцифры и глазом не моргнули, а ведь утекли данные трети населения страны. Сутки спустя никаких пресс-релизов так и нет. Вспомним сентябрьскую поправку в 152 ФЗ про сутки на реагирование…

• На данный момент сам сервис «СберСпасибо» не работает, тот же МегаМаркет выдает ошибку при попытке подключить бонусную программу от Сбера.

• Полагаем, что про оборотные штрафы напоминать не стоит, ведь такими темпами, уже к июлю, в сети будут гулять данные всех 140 млн. россиян.

НеКасперский

Рассказываем, какие атаки произошли за минувшую неделю

• Проукраинские хакеры слили базу данных «Российской газеты», а именно двух её подразделов: pravo.rg.ru и works.rg.ru. Кроме прочего, слитые данные содержат: имена, email, хеш паролей (MD5 без соли), адреса, телефоны. Всего пострадало около 210 тыс. пользователей.

• Атаке подвергаясь Высшая Школа Экономики. Хакеры опубликовали два архива, содержащих сканы паспортов сотрудников, студентов и выпускников ВШЭ. Кроме того, в сеть попали дела студентов, логины и пароли для СЭД и к другим внутренним сервисам.

• Хакер-одиночка выкачал с внутреннего сервера Acer более 160 Гб конфиденциальной информации. По заявлениям хакера, файлы содержат подробную информацию о внутренней структуре компании, презентации, руководства и т.д. Полученные данные выставлены на продажу.

• С американского сайта по продаже оружия GunAuction.com хакеры выкрали данные о более чем 500 тыс. человек. В результате утечки, были скомпроментированы имена, адреса, email, пароли в открытом виде и номера телефонов. Выборочная проверка подверни-ка принадлежность данных к сайту-продавьцу оружия, а инцидентом уже заинтересовалось ФБР.

• Российская Acronis признала кражу 12,2 Гб данных. Внутреннее расследование показало, что хакеры смогли скомпроментировать только одного клиента и выгрузить хранимые им данные, сертификаты, логи, настройки и прочее. Другие клиенты, как и сервисы компании не пострадали.

НеКасперский

Мегафон — такой «мегафон»

Оператор в обновленном приложении выкатил новую форму соглашения с пользователями. Теперь появился пункт, позволяющий компании передавать данные пользователей банкам и микрофинансовым организациям.

Забавно, что под этим пунктом можно отказаться от передачи, но кнопка согласится с правилами не пропадает, вот и гадайте теперь — согласились или нет.

Тут и вспоминается новая инициатива РКН о переработки правил формирования соглашений с пользователями, особенно в части обработки ПДн.

НеКасперский

Конгресс США протек

Конфиденциальная и личная информация, хранимая на серверах DC Health Link, была выставлена на продажу на хакерском форуме пользователем IntelBroker. Организация управляет медицинскими страховками представителей нижней Палаты Конгресса США, а также их семей.

Дамп включает данные порядка 170 тыс. человек. Помимо прочего, утекли:

• ФИО
• даты рождения
• Адреса
• e-mail
• Номера телефонов
• Номера мед. страховки

Хакер-одиночка заявил, что кто-то уже купил дамп, а ФБР подтвердили подлинность украденных данных и ведут расследование.

Мы уже писали ранее, что ПДн утекают не только в РФ, и проблема действительно носит глобальный масштаб, так может РКН уже пора «проконсультировать» коллег из США, как правильно бороться с утечками.

НеКасперский

Как там дела у Сбера

На минувшей неделе знакомили вас с очередной утечкой у Сбера, а сегодня DLBI подробнее проанализировали дамп и пришли к выводу, что слитые данные – полностью подлинные. Более того, они содержат в себе гораздо больше информации, чем было известно ранее.

Из файлов удалось вытащить количество запусков мобильного приложения и ошибки выполнения запросов к spasibosberbank.events. А перебор восстановленных номеров карт из хешей SHA-1 подтвердил, что они действительно выданы Сбербанком, при чем большинство еще активные.

Сбер, как и правовые регуляторы, до сих пор никак не прокомментировал ситуацию. Теперь им остается только подтвердить подлинность источника данных и тогда утечка СберСпасибо займет почетное второе место после нашумевшего инцидента 2019 года, тогда у Сбербанка утек архив на 5,7 Гб с персональными данными клиентов.

К слову, в сети уже ходят слухи, что утечка произошла в ходе неудачного переезда Мегамаркета (ранее – СберМегамаркет) со своей бонусной программы на программу СберСпасибо. Кстати, раздел с подключением таковой так и не заработал. А сам маркетплейс уже запустил 40% кешбэк «спасибами», которые должны прийти после 20 марта после переезда. Верим?

В любом случае, реакция компании, а точнее — её отсутствие, говорит о многом. Мало того, что кто-то оказался не готов не просто пресекать такие утечки, но и отвечать за них и ликвидировать их последствия. Что уж тут говорить, если не нашлось даже желания посвятить общественность в подробности расследования инцидента, если таковое вообще началось. Сбер уже проигнорировал требование поправки РКН предоставить информацию в течению суток, а теперь, 72 часа спустя — никакой информации о проведении внутреннего расследования с указанием причины и виновных лиц.

НеКасперский

В России появилась единственная корпоративная почта с действующим сертификатом ФСТЭК России

МойОфис, российская компания-разработчик офисного программного обеспечения, объявила о выпуске почтовой системы «Mailion. Сертифицированный» для работы с конфиденциальной информацией в крупных коммерческих компаниях, госорганизациях и субъектах КИИ.

В настоящий момент «Mailion. Сертифицированный» единственное сертифицированное почтовое решение на российском рынке с действующим сертификатом ФСТЭК России (№ 4648). Подтверждает соответствие требованиям безопасности по 4 уровню доверия и реализацию более 60 мер защиты информации. Функционирует в защищенной среде операционной системы Astra Linux SE 1.7, которая также сертифицирована ФСТЭК России.

Согласно техническим условиям, продуктом обеспечиваются меры по идентификации и аутентификации (ИАФ), управлению доступом (УПД), регистрации событий безопасности (РСБ), ограничению программной среды (ОПС), контролю защищенности (АНЗ) и целостности информации (ОЦЛ), обеспечению доступности информации(ОДТ) и защите информационной системы (ЗИС).

Применение "Mailion. Сертифицированный" позволяет решить задачу безопасной работы с электронной почтой внутри защищенных информационных систем и облегчает их аттестацию за счет реализованных мер защиты информации.

Подробнее о новом почтовом решении можно узнать по ссылке.

#promo

Не лезь туда – оно тебя сожрет

Мы уже рассказывали вам о чат-боте от Microsoft и его угрозах расправы над пользователями. Теперь Snapchat вот показывает, к чему проводит бесконтрольная интеграция ИИ в нашу жизнь. Чат-бот, интегрированный в приложение, посоветовал 13-летней девочке как лучше всего потерять девственность в поездке с 31-летним мужчиной в свой день рождения и солгать об этом родителям. Такой результат получил один из исследователей, представившись боту подростком.

Эксперты считают, что причина такой нейрогонки – безрассудное желание обойти конкурентов, а для большинства компаний подобные инциденты – лишь издержеки. Мало кто прислушивается к призывам о необходимости контроля развития ИИ.

Такими темпами можно ждать неадекватного поведения и от РКН с их «Окулусом», а с учетом общей нарастающей тенденции и гос.поддержки подобных технологий в РФ, скоро в отечественной сети будут гулять мемы про чат-боты от ВК, Госуслуг и Яндекса.

НеКасперский

Есть идея, как освоить миллиард рублей

С 2007 года в фонде «Росинфокоминвест» зависли ₽1,3 млрд., которые сейчас Минцифры предложили направить на развитие национального репозитория. Деньги на отечественный GitHub отдадут в АНО «Открытый код», учредителями которой являются VK, Ростелеком, Иннополис, Т1 и другие.

Причина, почему российские компании могут не иметь возможности использовать западные решения понятна — опасность хранения кода вне РФ. Вопрос в том, почему государство решает не вложится в существующие решения, а создать что-то своё. Нам известен, например, GitFlic, который как раз и позиционируется как отечественная разработка для российских компаний, чтобы те могли хранить код в контуре страны. Однако, создание сервиса с нуля несёт большее количество рисков и финансовых затрат, что, скорее всего, как не странно, и привлекло Минцифры.

НеКасперский

Лица москвичей представили?

А вот местной системе распознавания лиц этого делать не нужно. Сейчас в думе обратились к меру Москвы с требованием запрашивать разрешение на использования биометрии граждан.

Дело в том, что данные, которые обрабатывают около 176 тыс. камер (на 2021 год.) по всей столице с момента запуска системы в 2017 году, собираются без участия граждан. За реализацию системы отвечают несколько компаний, наиболее известная из которых — Ntechlab (Ростех) распознаёт лица на основе информации из социальных сетей в частности VK.

Получается, что никто не спрашивает разрешения на использования биометрии, что понятно, ведь она рассчитана на поиск преступников. Однако, такая мощная система попросту может стать инструментом для государственной слежки, если ещё этого не сделала.

В качестве бонуса, взгляните, как аналогичная система в Китае якобы выводит на баннер фото человека, который перешёл дорогу на красный свет.

НеКасперский

Что взломали вна Украине

Пророссийская «Народная CyberАрмия» на днях опубликовала дампы ряда украинских ресурсов, в общей сложности около 19 тыс. записей. По отдельности они слишком мелкие, поэтому собрали для вас одним постом. Хакеры взломали:

• Киевский Национальный Университет Пищевых Технологий. Слитый mdl_user.sql содержит 7.864 записи, среди которых: ФИО, email (7.749 уникальных),

• Местный Летуаль. Оттуда утекли: имена и фамилии, email (2 тыс. уникальных), логины и не хешированные пароли в Base64, IP-адреса.

• Зоомагазин kakadu,ua — имена и фамилии, email (7,575 уникальных), телефоны, логины, хеш паролей и IP-адреса.

НеКасперский

Это на фотографии всё так получилось. Не всё так плохо и печально

РКН отчитался, что за 2023 год зафиксировал всего 27 случаев утечки персональных данных. Регулятор при этом отметил, что в сеть попало около 165 млн. записей.

Мы бегло просмотрели список известных нам утечек и, как не странно, цифра, выданная РКН весьма точная. По крайней мере, она охватывает все самые масштабные утечки: Mail.ru, Почта России и т.д. Кстати, если мы правильно понимаем, то в этот список попали и сервисы Сбера.

Так, получается, что за 3 неполных месяца этого года мы имеем уже 11,7% от количества строк, утёкших за весь 2022 год. Но нам кажется, что этот год не побьёт предыдущий, т.к. хакеры будут нацелены скорее на вывод системы из строя, чем на кражу данных.

НеКасперский

DDoS – скоро на все системы страны?

Отечественный финансовый сектор все чаще сталкивается с массированным DDoS-атаками. Только за прошедшую неделю произошло 4 крупных инцидента.

Первым с DDoS атакой столкнулся Росбанк. Сайт банка не работал, основные финансовые операции стали недоступны, а оформление срочных платежей перевели на бумажный формат.

Чуть позже об атаке заявили представители Уральского банка реконструкции и развития. Последствия аналогичные — приложение и сайт были недоступны.

Сутки спустя на 6 часов легли основные системы Татарского банка Ак-Барс. Пользователи не могли получить доступ к приложению и сайту, не работали банкоматы и платежные терминалы.

Вот уже третьи сутки подряд с аналогичной атакой борется и Уралсиб. В компании заявили, что сегодня самая сильная DDoS-активность. Часть систем была отключена или переведена в режим ограниченного обслуживания.

Отметим, что представители Уральского финансового сектора входят в Ассоциацию Банков России, чья инфраструктура обсуживается нашим «любимым» Бизоном, который в начале февраля этого года и сам столкнулся с крупнейшей DDoS-атакой отечественного сегмента сети. Четко прослеживается неспособность учится на своих же ошибках.

Полагаем, что большинство утечек, которые также участились в последнее время, происходят под прикрытием подобных DDoS-атак. Обеспечить стопроцентную защиту от них почти невозможно, чем часто и пользуются компании, прикрывая известные инциденты другого уровня критичности.
К сожалению, зачастую злоумышленники пользуются моментом, когда максимум оперативного ресурса департаментов ИБ и киберзащиты сфокусированы на противодействие атаке. Именно в этот момент любая инфраструктура наиболее уязвима.

НеКасперский

Рассчитываем последствия правильно

Правительство Индии решило, что все-таки введет санкции против РФ. Правда, опыт Европейских коллег перенять забыли.

Последствия не заставили себя долго ждать. В минувшую среду бывшие проукраинские хакеры из Phoenix кинули свое горящее пёрышко в самое больное и незащищенное место врага — его медицину.

Все основные системы министерства здравоохранения в стране были сразу же взломаны. Хакеры получили доступ ко всем медицинским учреждениям и их сотрудникам. Под предлогом остановки деятельности системы были выложены скриншоты с демонстрации полного доступа к веб-ресурсу Индийской системы здравоохранения — аналогу отечественного emias.info.

Хакеры заявили, что не имеют ничего против коллег из Индии, но у любых актов противодействия РФ с их стороны – будут еще более серьезные последствия.

Видимо, силы и ресурсы Killnet теперь позволяют им действовать еще более провокационно, а вести кибервойну они готовы даже с такой сильной (в йоге) державой, как Индия.

НеКасперский

Украдены чертежи SpaceX

Представители хакерской группировки LockBit заявили, что через подрядную организацию Maximum Industries, им удалось выкрасть порядка 3000 чертежей деталей для кораблей Илона Маска.

Хакеры начали высмеивать и шантажировать Маска в соцсетях угрозами слива всех украденных данных, если выкуп не будет получен.

Эксперты отмечают, что сами по себе чертежи не представляют особой ценности. Поскольку по ним еще нужно собрать детали, а если у кого-то и найдутся ресурсы для этого, то это станет известно сразу. Не всякая компания, даже в США, может позволить оперативно выйти на один уровень со SpaceX.

Кажется экспертов не смущает, потенциальная возможность утечки чертежей в Иран, которому к полноценной ядерной бомбе еще и крутые носители могут добавится. С другой стороны, возможно среди чертежей есть и наработки по Starlink, что теперь гораздо интереснее, например, для Министерства обороны РФ. К тому-же чертежи могут содержать не только «готовый рецепт» ракет или спутников, но и уникальные технологические решения и концепции, которые еще не успели запатентовать и т.д. Интересная логика у американцев.

Интересно и то, что подтверждения факта кражи предоставлено не было, а значит все это может оказаться «пустышкой». С другой стороны, SpaceX – исполнитель госзаказов США и им в подобных случаях лучше не рисковать репутацией.

Так или иначе, ни сама компания, ни подрядчик, ни сам Илон Маск никак не прокомментировали ситуацию и, судя по всему, не собираются ничего предпринимать, видимо, Твиттер сейчас важнее.

А может они продадут чертежи Роскосмосу и тогда вскоре полетим «денацифицировать» Марс?

UPD: Несколько минут назад LockBit выложили в открытый доступ первые доказательства кражи, видимо, решили поторопить SpaceX с принятием решения о выкупе.

НеКасперский

Как обстоят дела с оборотными штрафами?

Мы уже писали и много раз напоминали в наших постах про нашумевшую инициативу Минцифры. А сегодня в профильный комитет Госдумы уже были переданы первые два законопроекта, один из которых предусматривает введение оборотных штрафов от ₽5 до ₽500 млн. Второй законопроект предполагает введение уголовной ответственности за кражу, распространение или продажу персональных данных.
Рассмотреть и принять обещают в апреле, дедлайн ведь не за горами.

Эксперты уже сошлись во мнении, что новые нормативы обязательно скажутся на повышении цен услуг всех компаний, связанных с обработкой данных.

Получается, что за утечки данных платить будут не операторы, а пользователи. Забавно в итоге понять, что оборотные штрафы лягут на наши плечи.

НеКасперский

События прошедшей недели, не попавшие к нам в ленту:

• В Минцифре предложили освободить IT-компании от налога на прибыль, при чем бессрочно. Руководствуются тем, что сейчас на рынке «неравные конкурентные условия». Льготы распространяются только на компании-разработчиков IT-продуктов, а остальной IT-сектор, куда, к слову, входят и ИБ-компании, такой привилегией остался обделен.

• Помимо вышесказанного, на днях Минцифра вспомнила про отечественные Bug-bounty проекты. Теперь нас порадовали инициативой организации полноценного гос. регулирования подобной деятельности. Обещают после «пилота» на Госуслугах проанализировать и оценить все достоинства, недостатки и риски, а уже после начать движение в сторону написания нормативки. Не исключаем, что контроль исполнения новых требований, которые обязательно будут, повесят на ФСТЭК.

• Госдума опять вспомнила о VPN-сервисах и в очередной раз намекнула на необходимость сотрудничества разработчиков VPN-сервисов с правоохранительными органами. Все под предлогом обеспечения безопасности информационного пространства в РФ. Или все же с национальным VPNом — не все так гладко?

• Среди экспертов ИБ провели опрос и выяснили, что порядка 80% специалистов используют в своей работе искусственный интеллект. Многие говорят, что это сильно упрощает процесс работы и порой даже решает проблему кадрового дефицита. Будем рады, если и наши читатели поделятся в комментариях своим опытом использования ИИ в ИБ сфере.

• С 1 октября ЦБ будет осведомлен о всех деталях проведения финансовых операций с подозрением на мошенничество. Все это станет возможным благодаря обязательной интеграции банков с системой ФинЦЕРТ. Передаваться будут: номер сим-карты, полные сведения о самом устройстве и местоположение всех участников операции. Судя по всему, данные могут быть предоставлены правоохранительным органам по первому требованию.

• Вна Украине выкатили законопроект с предложением легализовать и «обелить» отечественных хакеров, которые действуют в поле национальных интересов. Все добровольческие хакерские формирования на территории и за пределами страны будут официально включены с состав ВСУ с последующей структуризацией и легализацией деятельности. Видимо опыт с Фениксами дал понять, что «воевали не в ту сторону».

НеКасперский

Лицо NASA представили?

Теперь можете посмотреть на него со спутника.

Пророссийская хакерская группировка Phoenix продолжает наводить шороху. Теперь они взломали целый ряд систем NASA, получив доступ к учетным записям пользователей и администраторов EOSDIS (рекомендуем загуглить, очень крутой OSINT инструмент в руках опытного специалиста).

Ко всему прочему, им удалось получить доступ к данным со спутников MMS и данным исследований NASA, схемам их космических кораблей и прочей информации о деятельности всего управления.

Пользователи сети уже делятся скринами с доступом к ресурсам NASA, и манипуляциями с аккаунтами.

Теперь точно летим денацифицировать Марс.

НеКасперский