Снова открытая база данных, снова (https://t.iss.one/dataleak/690) информация из миллионов резюме.

На этот раз в открытом доступе оказалась БД Elasticsearch с 2,898,153 записями. БД принадлежит французской компании по подбору персонала MisterTemp.

Среди свободно доступных данных такая информация, как: имена, адреса электронной почты, домашние адреса, даты рождения, национальность, номера мобильных телефонов, линки на внешнее хранилище Amazon S3, содержащее полные резюме и отсканированные документы, образование, навыки, опыт, номера паспортов и социальных карт.

В Перми бывшая сотрудница полиции обвиняется в злоупотреблении должностными полномочиями (ч. 1 ст. 285 УК РФ) и мелком взяточничестве (ч. 1 ст. 291.2 УК РФ).

В 2017 году она имела доступ к сведениям банков, которые содержали персональные данные клиентов. Без ведома самих граждан и соответствующих запросов компетентных органов она предоставляла эти данные директору коммерческой организации.

За эти сведения бывшая сотрудница полиции получала вознаграждение - от 100 до 500 рублей. После того, как случаи взяточничества вскрылись, женщину уволили из органов внутренних дел.

Уголовное дело завершено, материалы дела переданы в суд.

Материалы расследования ФБР оказались в открытом доступе из-за неправильно настроенной утилиты резервного копирования rsync в департаменте ценных бумаг штата Оклахома.

И-за неверной настройки программы rsync для удаленного резервного копирования и синхронизации файлов, произошла утечка архивов электронной почты в формате .PST за период с 1999 по 2016 годы. Общим обьемом более 16Гб.

Помимо электронной почты в открытом доступе оказались: файл базы данных Microsoft Access, содержащий персональные данные (включая номера социального страхования) десяти тысяч брокеров, CSV-файл с такими данными, как дата рождения, пол, вес, рост, цвет кожи, цвет глаз, ста тысяч брокеров, учетные записи для доступа к рабочим станциям департамента по VNC, Excel-файл с административными логинами для Thawte, Symantec Protection Suite, Tivoli и т.п., а также множество внутренних документов департамента.

Множество из найденных документов было частью расследования ФБР относительно таких компаний, как AT&T, Goldman Sachs и Lehman Brothers.

Утечка из "Oklahoma Department of Securities"

Сегодня уже все отметились "новостью" про то, что создатель Have I Been Pwned Трой Хант написал про крупнейшую базу электронных адресов и паролей, с которой он сталкивался. Размер «Collection #1» составляет 87 Гб, база состоит из 12 тыс. файлов.

В чем собственно ценность этой "новости" нам не понять. Полная коллекция на самом деле превышает 1 Тб и состоит из 7 архивов. Распространяется она достаточно свободно на форуме raidforums.com.

Для подобного рода форумов такие коллекции (как их называют там – "комбо") это обычное явление. Данные в них давно устаревшие и как правило не представляют никакого реального интереса.

Второй день шумят "казуалы", которым на глаза попалась информация про подборку давно "протухших" пар "email:password". 🙈

Скорее всего мало, кто из пишущих про это видел саму подборку, состоящую из 7-ми частей (а все почему-то пишут только про одну). 😂

Еще меньшее кол-во т.н. "экспертов" вспоминает, как более года назад было тоже самое, только подборка была из 1.4 млрд пар "email:password". Тогда мы даже не поленились и проанализировали утекшие в паблик пароли: https://www.devicelock.com/ru/blog/analiz-14-mlrd-parolej-chast-pervaya.html

Для тех, кто желает самостоятельно посмотреть на то, что же на самом деле попало в паблик, вот ссылки:

Collection #2: https://mega.nz/#F!zDIjRIhC!c0JCchB5T_RCBoQBwxYiZQ
Collection #5: https://mega.nz/#F!CzJSyQpK!FUJ2oWN7zhQ487IJf-kvtg

Остальное, как мы писали вчера, можно взять на raidforums...

Крупнейшая сеть филлипинских ломбардов Cebuana Lhuillier сообщает об утечке персональных данных 900 тыс. клиентов.

Неавторизованные лица получили доступ к почтовому серверу компании, использовавшемуся для маркетинговых рассылок и скачали такую информацию о клиентах, как: даты рождения, домашние адреса, источники дохода.

База клиентов украинского сервиса Moneyveo.UA, предоставляющего услуги быстрых онлайн кредитов, свободно распространяется через специализированные форумы в интернете.

База содержит информацию о 256,625 клиентов компании по состоянию на 2017 год.

Среди персональных данных: ФИО, дата рождения, телефоны (до 4-х номеров), адрес электронной почты, серия и номер паспорта, кем и когда выдан, состояние заявки по кредиту (выдан, отклонен, закрыт, в процессе рассмотрения) и ее дата.

Украина. Клиенты Moneyveo.UA. 2017 г.

Открытое облачное хранилище Amazon AWS, принадлежащее индийскому микрокредитному сервису RupeeRedee, раскрывало персональные данные клиентов.

В свободном доступе находились сканы документов, отправленных клиентами в рамках процедуры KYC ("знай своего клиента"). В числе прочего там были сканы национальных идентификационных карт Aadhaar и Pan.

Для доступа к хранилищу достаточно было знать его имя.

Про то, как обнаруживают открытые облачные хранилища Amazon, мы писали в отдельной статье: https://www.devicelock.com/ru/blog/kak-obnaruzhivayut-otkrytye-oblachnye-hranilischa-amazon.html

Облачное хранилище S3, принадлежащее RupeeRedee

На портале поддержки партнеров Microsoft стали видны все обращения в поддержку, поданные 18 января всеми пользователями. Персональные данные пользователей не пострадали.

Содержимого заявок не видно, но можно увидеть их заголовки и номера.

Сотрудник мобильного оператора «Мегафон» в Санкт-Петербурге был обвинен в совершении преступления, ч. 2 ст. 138 УК РФ (нарушение тайны переписки, телефонных переговоров, почтовых, телеграфных или иных сообщений).

Суд установил, что подсудимый находился в должности инженера по разработке отчетности корпоративного хранилища данных и нес обязательство по сохранению конфиденциальной информации компании.

Вопреки должностным обязанностям он, используя свое служебное положение, имея доступ к данным биллинговых систем, получил доступ к конфиденциальной информации потерпевшего и передал эту информацию неустановленным лицам.

С учетом позиции государственного обвинения, отсутствии возражений со стороны потерпевшего, ходатайство следователя удовлетворено, подсудимому назначен штраф в размере 100 тыс. рублей.

Недавно мы писали про ситуацию с «пробивом» на черном рынке: https://www.devicelock.com/ru/blog/tseny-chernogo-rynka.html. Одной из самых распространенных «услуг» является как раз т.н. «мобильный пробив».

В открытом доступе обнаружена база данных с 61 млн. записями, содержащими: имена, пол, номера мобильных телефонов, даты рождения, места работы, образование, интересы. Принадлежность БД устанавливается, но уже сейчас понятно, что данные в ней связаны с Вьетнамом.

Международная молодёжная (полностью управляемая молодежью в возрасте от 18 до 29 лет) некоммерческая неполитическая независимая организация AIESEC, допустила утечку персональных данных около 4 млн. человек, оставлявших заявки на стажировку.

Открытая база данных Elasticsearch была обнаружена в открытом доступе с помощью специализированного поисковика Shodan.

В БД содержится такая информация, как: адреса электронной почты, имена, даты рождения, пол, а также детали собеседования.