Заключительная (мы надеемся 😂) часть истории про утечку данных с серверов ОФД «Дримкас». Начало истории тут: https://t.iss.one/dataleak/1278 🔥🔥🔥

Как было сказано ранее, нами было обнаружено два свободно доступных сервера Elasticsearch с данными «Дримкас». Про первый сервер мы уже написали, а теперь пришло время рассказать, что же было на втором… 👇

И так, 15.09.2019 в 20:45 (МСК) система DeviceLock Data Breach Intelligence обнаружила свободно доступный Elasticsearch-сервер с индексами “ofd-mfarc”, “prod_stats”, “s300”, “mark_0” и многими другими. Общий размер “засвеченных” индексов с данными превышал 70 Гб. 😱

По данным поисковика Shodan этот сервер находился в открытом доступе с 08.09.2019. 😂

Мы снова оповестили «Дримкас» и уже к 8-ми утра следующего дня сервер был убран из открытого доступа.

В индексах сервера содержались подробные данные чеков, данные кассира, информация о магазине и кассовом аппарате: 🙈

🌵 регистрационный номер кассового аппарата (ККТ)
🌵 ИНН магазина
🌵 номер чека (фискального документа)
🌵 дата покупки
🌵 название магазина
🌵 адрес магазина
🌵 ФИО кассира (иногда только имя/фамилия)
🌵 список товаров в чеке
🌵 сумма покупки
🌵 размер НДС

"payload_raw": "{\"receipt\": {\"fiscalDriveNumber\": \"9282000100150332\", \"kktRegId\": \"0000935658000340 \", \"userInn\": \"2208008228 \", \"fiscalDocumentNumber\": 130567, \"dateTime\": 1564509540, \"fiscalSign\": 1564509540, \"shiftNumber\": 400, \"requestNumber\": 183, \"operationType\": 1, \"totalSum\": 10700, \"fiscalDocumentFormatVer\": 2, \"user\": \"ООО ДЭН\", \"operator\": \"ЧУРИНА АННА\", \"operatorInn\": \"220804192318\", \"retailPlaceAddress\": \"Алтайский край, г. Новоалтайск, ул. Октябрьская, д. 24Г\", \"retailPlace\": \"Магазин У Клена\", \"taxationType\": 8, \"items\": [{\"name\": \"Сигареты Петр 1 эталон компакт 100\", \"paymentType\": 4, \"price\": 10700, \"quantity\": 1.0, \"productType\": 1, \"sum\": 10700, \"nds\": 6, \"productCode\": \"AAUCwQ1oK0FHUE9OIg==\"}], \"cashTotalSum\": 10700, \"ecashTotalSum\": 0, \"prepaidSum\": 0, \"creditSum\": 0, \"provisionSum\": 0, \"nds18\": 0, \"nds10\": 0, \"nds0\": 0, \"ndsNo\": 10700, \"ndsCalculated18\": 0, \"ndsCalculated10\": 0, \"senderAddress\": \"[email protected]\", \"fnsSiteUrl\": \"www.nalog.ru\", \"code\": 3}}",

Кроме того, в некоторых индексах содержались пароли в текстовом виде от личных кабинетов пользователей (всего более 7 тыс. записей): 🤦🏻‍♂️

"request_body": "{\"code\":\"814e8e68-7c3d-425a-90f2-2e4aaaXXXXXX\",\"password\":\"#707Anofam707#\"}",
"http_referrer": "https://ofd.dreamkas.ru/auth/set-password?code=814e8e68-7c3d-425a-90f2-2e4aaaXXXXXX",

(реальные данные скрыты нами)

На момент обнаружения (15.09) в “значащих” индексах содержалось всего 74,761,236 строк. Особо подчеркиваем, что это общее число строк в индексах, в которых содержатся чувствительные данные, а не количество самих утекших данных. Общее количество утекших данных (чеков, паролей и т.п.) существенно меньше! 😎

Относительно это новости: https://t.iss.one/dataleak/1288

"Информация об утечке в интернет персональных данных 20 млн российских налогоплательщиков не соответствует действительности, сообщил Forbes официальный представитель ФНС России.

Налоговики также настаивают на том, что формат и структура данных, описанных в статье, не соответствуют форматам хранения данных, применяемых в ведомстве. Часть приведенных данных вообще не собирается и не хранится в информационных ресурсах Налоговой службы, уточнил ее представитель."

🤦‍♂️🤦🏻‍♂️🤣😂

Не хочется комментировать данные заявления. Просто приложим картинки. 😎

🔥🔥🔥

Персональные данные клиентов Сбербанка оказались на черном рынке. Продавцы уверяют, что владеют данными о 60 млн кредитных карт, как действующих, так и закрытых (у банка сейчас около 18 млн активных карт).

Утечка могла произойти в конце августа. Эксперты, ознакомившиеся с данными, считают их подлинными и называют утечку самой крупной в российском банковском секторе. В Сбербанке обещают проверить подлинность базы, но утверждают, что угрозы средствам клиентов нет.
Объявление о продаже «свежей базы крупного банка» появилось в минувшие выходные на специализированном форуме, заблокированном Роскомнадзором. По словам продавца, он реализует данные о более 60 млн кредитных карт. Первым объявление заметил и обратил на него внимание “Ъ” основатель DeviceLock Ашот Оганесян.

https://www.kommersant.ru/doc/4111863

От себя дополним: 👇

Мы проанализировали порядка 240 записей из предполагаемых 60 млн. и можем подтвердить, что в них содержатся данные реальных людей, имеющих карточные счета в Сбербанке.

Кроме того, по нашему опыту это самая большая и полная (подробная) банковская база данных, которая когда-либо попадала к нам с черного рынка.

Набор полей действительно поражает. Помимо уже привычных паспортных данных, номеров счетов, сумм на этих счетах, данная база также содержит специфические поля, такие как: Код продукта Way4, Агент по прямым продажам, Уровень загрузки списка, Канал продаж и многие другие. Всего более 80 колонок с данными.

Судя по некоторым специфическим названиям, таким, как Код продукта Way4, Сост. карты по WAY4, Сост. дог-ра по WAY4 и некоторым другим, мы можем предположить, что данная база является сохраненной копией (полной или нет, нам неизвестно) базы данных продукта WAY4 - платформы для электронного банкинга, процессинга платежных и неплатежных карт и удаленного банковского обслуживания.

Полный набор полей базы с информацией о выданных кредитных картах Сбербанка (https://t.iss.one/dataleak/1291): 😱

ФИО
Паспорт
Номер карты
ОСБ
Филиал
Лимит кредита
Недоисп. лимит
Ссуда всего
Ссуда текущая
Ссуда к погашению
Превышение лимита
Просроченная ссуда
%% текущие бал.
%% льготные бал.
%% текущие внебал.
%% льготные внебал.
%% к пог. бал.
%% к пог. внебал.
%% просроч. бал.
%% просроч. внебал.
Инсайдер
Портфель
Адрес работы
Дата опердня
N договора WAY4
Место работы
Дата созд. дог-ра в WAY4
Дата активиз. д-ра
Дата закр. д-ра
Признак закр. д-ра
Остаток собств. ср-в
Комис. за обсл.
Расчетная неустойка
Срок действ. карты
Сост. карты по WAY4
Сост. дог-ра по WAY4
Номер счета карты
Дата обр. просроч. по осн. дол.
Дата обр. просроч. по проц.
Кат. кач-ва ссуды
Дата блокирования закрытой карты
Дата рождения держателя
Проц. ставка за кредит
Комиссии за обсл. к погашению
Дата предстоящего платежа
Сумма минимального платежа
Кредитная фабрика
Тип клиента для учета продаж
Код кол-ва просрочек (АС СД)
Почт.индекс (р)
Регион (р)
Район (р)
Город (р)
Насел.пункт (р)
Улица (р)
Дом (р)
Строение (р)
Корпус (р)
Офис (р)
Квартира (р)
Код продукта Way4
Канал продаж
Агент по прямым продажам
Уровень загрузки списка
W4 телефон
W4 телефон домашний
W4 телефон мобильный
СПООБК телефон по месту регистрации
СПООБК телефон по месту жительства
СПООБК телефон мобильный
СПООБК телефон по месту работы
Признак пользования кредитной линией
Дата нач. мониторинга задолж. для закр. счета
Реквизиты перечисления остатка при закр.
Признак инд.резервирования
Дата перевода на инд.рез.
Признак перевода в ГОС безнад.
Дата перевода в ГОС безнад.
Кто перевел на спец. резервирование
Атрибуты резевирования
Дата заявления на закрытие д-ра

🔥🔥🔥

А вот так выглядит кусок базы с информацией о выданных кредитных картах (https://t.iss.one/dataleak/1291).


Кстати, пресс-служба Сбербанка сделала официальное заявление:

Вечером 2 октября 2019 года Сбербанку стало известно о возможной утечке учетных записей по кредитным картам, которая затрагивает как минимум 200 клиентов банка.

В настоящий момент производится служебное расследование и о его итогах будет сообщено дополнительно. Основная версия инцидента – умышленные преступные действия одного из сотрудников, так как внешнее проникновение в базу данных невозможно в силу ее изолированности от внешней сети.
Похищенная информация в любом случае никак не угрожает сохранности средств клиентов.

По поводу сегодняшнего слива кредитной базы "Сбербанка". Больше всего удивляет, конечно, непрофессионализм писателей в Telegram-канальчики, ничего не понимающих в вопросе, но мнение имеющих. 🤣

🤦‍♂️ Во-первых, данной категории писателей стоит поинтересоваться, можно ли «на профильных» форумах узнать такую информацию о карте, как «Сост. карты по WAY4», «N договора WAY4» и другие, перечисленные здесь поля (81 шт.): https://t.iss.one/dataleak/1292. Писателей ожидает неприятный сюрприз. Да, узнать номер счета, паспортные данные, остаток на счете можно, это стоит несколько тысяч рублей по каждому человеку (см. ниже).

🤦🏻‍♂️ Во-вторых, писателям стоит ознакомиться со стоимостью банковского пробива (можно почитать наше исследование тут: https://www.devicelock.com/ru/blog/tseny-chernogo-rynka-na-rossijskie-personalnye-dannye.html) и понять для себя, что за 5 рублей никто никогда ничего им не предоставит. А именно 5 рублей за одну строку просил продавец этой базы. Пробив это вообще другая категория услуг на черном рынке.

🤦🏽‍♂️ В-третьих, активные или не активные карты в образце, который предоставил продавец не имеет никакого значения. Как написали журналисты издания «Коммерсантъ», они запросили подтверждения у продавца, предоставив ему свои данные (ФИО и регион), получив в ответ полные записи со всеми полями (81 шт., см. выше) и, что самое главное – данные оказались верными.

🤦🏿‍♂️ И последнее, да действительно это наш пиар – мы обнаружили эту базу, и мы о ней сообщили изданию «Коммерсантъ», ничего плохого в этом нет. Плохо стыдливо умалчивать о таких вопиющих случаях и писать глупости в анонимные Telegram-канальчики. 😂

Суд во Владивостоке вынес приговор по уголовному делу в отношении менеджера отдела продаж и обслуживания одной из компаний связи, которая признана виновной в совершении преступления, предусмотренного ч. 4 ст. 274.1 УК РФ (неправомерный доступ к охраняемой компьютерной информации, содержащейся в критической информационной инфраструктуре Российской Федерации, что повлекло причинение вреда критической информационной инфраструктуре Российской Федерации, совершенное лицом с использованием своего служебного положения).

Имея доступ к автоматизированной системе, она осуществила копирование компьютерной информации, содержащей персональные данные абонентов. После чего по просьбе знакомого переслала указанные сведения на его электронный адрес. 🙈

Признав подсудимую виновной в совершении указанного преступления, суд назначил ей наказание в виде в виде 3 лет лишения свободы с лишением права заниматься деятельностью, связанной с доступом к критической информационной инфраструктуре РФ сроком на 2 года. В соответствии со ст. 73 УК РФ наказание в виде лишения свободы назначено условно с испытательным сроком на 2 года.


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут: 👇

https://www.devicelock.com/ru/blog/kak-v-rossii-lovyat-i-nakazyvayut-za-nezakonnuyu-torgovlyu-personalnymi-dannymi.html

В открытый доступ выложили базу Финансового университета при Правительстве Российской Федерации (fa.ru).

В текстовом файле находится 42,760 строк (42,764 вместе с «мусором»), содержащие:

🌵 ФИО
🌵 логин (числовой идентификатор или адрес эл. почты)
🌵 имя пользователя Active Directory (в формате fadomain\<логин>)
🌵 дата регистрации пользователя
🌵 роль пользователя (студент, преподаватель, родитель, администратор, магистрант)
🌵 дата и время последнего входа в систему (самая “свежая” - 14.08.2019)
🌵 подразделение (Факультет Прикладной математики и информационных технологий, Финансово-экономический факультет, Департамент корпоративных финансов и корпоративного управления и т.п.)


Поскольку последний зафиксированный вход в систему был 14.08.2019 в 19:22:47, логично предположить, что данные были «слиты» примерно в это время. 😎

И снова непрофессионалы взялись писать про утечки. 😴 На этот раз напали на Билайн – якобы невероятный слив 8 млн. клиентов домашнего интернета от Билайна.

Билайн конечно зря начал играть в русскую народно-корпоративную игру «вы все врете», т.к. база реальная, но старая. 🤦‍♂️16 марта 2017 года ее выложили на всем хорошо известный форум под названием «РФ_Билайн_домашний_Интернет» в формате Cronos, где в условно-свободном доступе «для своих» она так и находится до сих пор. 😎

Вот цитата с форума:

База :Билиайн домашний интернет Москва и регионы
Размер банка: 1`839`389 Kb
Дата и время модификации: 15.11.2016 (13:31:02)
Общее количество записей в банке: 8`713`510

Интересно, кому и зачем понадобилось сейчас нападать на Билайн с давно "протухшей" базой. 😂

Недавно писали, что американский онлайн магазин одежды Shein.com сообщил об утечке клиентской базы в 2018 г. – всего 6.42 млн. записей: https://t.iss.one/dataleak/1166

А сейчас стали доступны 29.2 млн. логинов и расшифрованных паролей к ним. Это явно говорит о том, что Shein соврали о реальном размере утечки. 😭 Мы проверили эти записи и на 82% пары логин/пароль оказались уникальными и никогда раньше не встречались в утечках.

Кроме того, мы добавили в свою “коллекцию” почти 500 тыс. уникальных пар логин/пароль от сервиса CafePress.com, летом этого года, заявившего об компрометации данных 23 млн. клиентов. Судя по имеющейся у нас информации, утечка произошла 20-го февраля 2019 г. На сегодняшний день расшифровано 11 млн. паролей, но только 700 тыс. из них свободно доступны.

Г. Греф официально заявил: “От себя лично и всей команды Сбербанка хочу еще раз принести глубокие извинения 200 нашим клиентам за произошедшее и всем нашим клиентам за доставленные переживания.” и “Хочу поблагодарить всех наших клиентов за веру в нас и доверие, а также сотрудников Службы безопасности банка, нашего дочернего предприятия "Бизон" и правоохранительных органов за четкую и слаженную работу, которая позволила в течение считанных часов раскрыть преступление” 🤦‍♂️

А купленные Telegram-каналы уже разнесли благую весть: “Ну, 200 украденных аккаунтов - так себе бизнес, а вот срок может быть большой.” 🤣

Пока ничего не будем писать, приложим картинку, наглядно демонстрирующую “четкую и слаженную работу, которая позволила в течение считанных часов раскрыть преступление”. 😂

Детально про это напишем уже на следующей неделе… 😎

Тем временем в открытом доступе находятся уже более 2 тысяч записей с данными платежных карт Сбербанка: 🔥🔥🔥

ФИО
Дата рождения держателя
Паспорт
Номер карты
Срок действ. Карты
Сост. карты по WAY4
Сост. дог-ра по WAY4
Номер счета карты
ОСБ
Филиал
Лимит
Адрес работы
Дата опердня
Место работы
Почт.индекс (р)
Регион (р)
Район (р)
Город (р)
Насел.пункт (р)
Улица (р)
Дом (р)
Строение (р)
Корпус (р)
Офис (р)
Квартира (р)
W4 телефон
W4 телефон домашний
W4 телефон мобильный
СПООБК телефон по месту жительства
СПООБК телефон мобильный
СПООБК телефон по месту работы

На текущий момент мы обнаружили в совершенно свободном доступе (даже без пароля) 2499 строк из утекшей базы.

Мы разумеется не знаем точного количества утекших записей, но уже каждому понятно, что это не 200 карт, про которые официально заявлял Сбербанк и про которые раструбили продажные Telegram-каналы.

Три раза происходили утечки пользовательской базы данных Armor Games – производителя и издателя браузерных игр. 🤦‍♂️ Первый раз в августе 2018, второй раз в декабре 2018 и третий раз в январе 2019. 🔥

Общее число утекших пользователей 11,013,503. Кроме логинов пользователей, утекли их хешированные пароли (SHA1 с солью), эл. адреса, даты рождения, IP-адреса, списки контактов.

Совсем недавно в свободном доступе появились расшифрованные пароли 7 млн. аккаунтов. Мы проверили эти записи и на 45% пары логин/пароль оказались уникальными и никогда раньше не встречались в утечках. 😎

Банкам очень не нравится, когда кто-то говорит об утечках их клиентов. Бороться с утечками они увы (для нас – простых клиентов, держащих там свои средства) не умеют. 😱

Зато их PR-отделы умеют ловко манипулировать фактами и размещать материалы в СМИ и в Telegram-каналах.

Цитата из «Известий»:

"Источник новостей о массовых утечках данных мог иметь коммерческий интерес, заявили «Известиям» в крупнейших финансовых организациях. В Альфа-банке, «Открытии» и Тинькофф-банке рассказали, что сообщения о компрометации персональных данных из их систем появились в прессе после того, как они отклонили предложение компании DeviceLock."

✅ Разумеется, DeviceLock ко всем ним (и к другим) обращались с предложением рассмотреть возможность использования продукта для борьбы с утечками. Любой другой производитель ПО, дистрибутор и системный интегратор также обращается к потенциальным потребителям своих продуктов.

✅ Факт также в том, что мы безвозмездно, т.е. даром, всегда сообщаем банкам (до случая явного отрицания с их стороны в стиле "вы врете, у нас утечек нет") о появлении тех или иных данных на черном рынке.

✅ Кроме того, мы единственные, кто открыто и публично говорит о проблеме, поэтому часто в СМИ и являемся первоисточником информации об утечках.


Кстати, пример такого отрицания со стороны Сбербанка описан в этой же статье «Известий»: "«Упоминание вами (представителем DeviceLock. — «Известия») неоднократных утечек данных не является обоснованным, так как не соответствует действительности», — подчеркивал в своем ответе топ-менеджер Сбербанка."

К сожалению это “не соответствие действительности” сейчас могут наблюдать все, причем и через официальные каналы коммуникаций самого Сбербанка, признавшего утечку данных уже 5 тыс. карт.

В дополнение к предыдущему репосту из @devicelock_ru 👇

 
Немного цифр и фактов о том, как «сообщения о компрометации персональных данных из их систем появились в прессе после того, как они отклонили наше предложение»:

🤦🏻‍♀️ Банк Тинькофф: предложение о сотрудничестве - июнь 2018, информация о продаже базы клиентов – август 2019. Прошел 1 год и 2 месяца.

🤦🏻‍♀️ Альфа Банк: предложение о сотрудничестве - июнь 2018, информация о продаже базы клиентов – июнь 2019. Прошел всего год.

🤦🏻‍♀️ Сбербанк: предложение о сотрудничестве - июль 2018 года, информация о продаже базы клиентов - октябрь 2019 года. Прошел 1 год и 2 месяца.
 
Ребята в службах безопасности банков хотели все отрицая до пенсии спокойно досидеть, а мы им помешали своей активностью. Прямо жаль их! 🤣😂

Неизвестные заявляют (https://btcfile.link/f/3zGVyLNEMPQGF4iGpFRomHzWge6x), что им удалось завладеть полным дампом базы данных сети обменников «электронных» (Webmoney, Яндекс.Денег, Qiwi и др.) денег SmartWM.ru (включая yandex-id.com, smartid.live, smartwm.biz, obmenka.ua, obmenka24.ru, exchanger1.com, worldchange.ru, changeinfo.ru). 🔥


Дамп, содержащий логины, имена, адреса, пароли (частично расшифрованные), ID-кошельков пользователей, номера банковских карт (в частности MasterCard, выпущенные «YANDEX.MONEY NBCO LLC») и даты их истечения, балансы, сканы паспортов, пытаются продать за $50 тыс. 😱


Мы проверили несколько кошельков Яндекс.Денег из выложенного в свободный доступ примера и оказалось, что выложенные номера кошельков полностью соответствуют номерам телефонов и логинам. 👍

Дамп датируется предположительно 9-м октября 2019 г.

По версии прокуратуры Новосибирской области, с 22 августа 2016 года по 11 сентября 2017-го бывший оперуполномоченный подразделения экономической безопасности и противодействия коррупции УМВД по Новосибирску, злоупотребляя своими полномочиями, трижды незаконно получил из базы данных информационного центра ГУ МВД России по Новосибирской области сведения о персональных данных граждан.

Речь идёт о паспортных данных, фотографиях, адресах, телефонах, сведениях о привлечении к уголовной и административной ответственности и другой информации, которую обвиняемый передавал по WhatsApp своему знакомому в Москву.

35-летний бывший полицейский обвиняется в «злоупотреблении должностными полномочиями» (ч. 1 ст. 285 УК РФ) и «незаконном собирании и распространении сведений о частной жизни лиц с использованием служебного положения» (ч. 2 ст. 137 УК РФ).

Свою вину он не признал, отказавшись от дачи каких-либо пояснений.


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут: 👇

https://www.devicelock.com/ru/blog/kak-v-rossii-lovyat-i-nakazyvayut-za-nezakonnuyu-torgovlyu-personalnymi-dannymi.html

Нам поступил официальный комментарий от Яндекс.Деньги относительно этой новости: https://t.iss.one/dataleak/1305 👇


Опубликованные данные - это информация о счетах пользователей, которые, как выяснилось, обменивали деньги через сервис частного лица (все операции на таких ресурсах по сути являются переводами между физлицами). Данные о своих кошельках и картах пользователи оставляли на этом ресурсе добровольно — среди них оказались и наши клиенты. Мы расследовали ситуацию и выяснили, что злоумышленники взломали сервер этого частного ресурса и получили доступ к токенам, логинам, номерам карт и другой информации,  которую там указали сами пользователи. Вне этого ресурса злоупотребить платежной информацией невозможно — для всех операций по кошелькам требуется ввод платёжного пароля, и у большинства наших пользователей уже давно настроена двухфакторная авторизация с паролем из смс или приложения. Для операций по картам также требуется подтверждение по 3Ds, но в любом случае мы перевыпустим все карты, данные которых были обнародованы.

С нами связались представители обменника SmartWM.ru и предоставили детальную информацию по инциденту (https://t.iss.one/dataleak/1305): 👇

12 сентября 2019 года неустановленным лицом осуществлен несанкционированный доступ к ряду наших ресурсов. В рамках проведенного исследования установлены способы осуществления вмешательства, а также предприняты меры по устранению угрозы.

Злоумышленник, осуществивший атаку, угрожал и требовал выкуп; после неудовлетворения озвученных им условий упомянутое неустановленное лицо выставило на продажу массив данных.

Мы провели мероприятия по уведомлению клиентов, чьи данные (например, адрес электронной почты, ФИО, номер паспорта), могли быть скомпрометированы. Предполагаем, что злоумышленник продолжит кампанию по дискредитации нашего имиджа, манипулируя имеющимися у него данными.

Отметим, что во время общения с преступником он заявлял, что его объектами заинтересованности являются и другие обменные пункты, "список которых доступен на bestchange.ru". В этой связи мы публикуем некоторые индикаторы атак, чтобы наши коллеги и партнеры могли осуществить проверку.

1. Получение несанкционированного доступа сопровождается их предварительным сканированием с помощью таких инструментов как: DirBuster, BurpSuite (Burp Collaborator) и т.п. Применение этих сканеров имеет отображение в журналах веб-сервера.

2. Для попытки обхода WAF (Web Application Firewal) атакующий модифицирует значение HTTP-заголовков. Например, добавляет "127.0.0.1" в заголовок X-Forwarded-For.

3. Осуществляя противоправную деятельность злоумышленник использовал
такие IP-адреса:
185.195.16.180
185.65.134.232
185.212.170.228
185.212.149.203
185.206.227.135
185.156.173.28
185.213.154.130
188.163.92.240
37.120.204.10
37.120.198.72
45.12.222.215
141.98.252.232

4. Злоумышленник использовал такие VPN-сервисы: MullVad, WireGuard. Кроме этого, большинство замеченных IP-адресов принадлежат компании M247.

5. Нижеприведенные кошельки также принадлежат злоумышленнику:
36fuuedwdipS8P1Z3sGfQHkM84jmk8xLXk
1CvC1gQxyXfzAVupbcayu7jcEQutd8RGiu
12Nx6ZLKqAQWPmWJoh1YSfv8Xk21WBHhnA

6. Аккаунт злоумышленника в Telegram: @piforyou

7. Просим учесть, что адрес электронной почты [email protected] является скомпрометированным и используется злоумышленником, по его же словам, для осуществления другой противоправной деятельности.

Продолжая тему с обменником SmartWM.ru – в свободном доступе уже появился Excel-файл (и его конверт в Cronos) с данными 999 клиентов обменника.

Заявленная актуальность данных - 09.10.2019, однако дата последнего входа в систему в этой таблице – 16.09.2019. 😎

В таблице очень много мусорных и пустых записей.