Продолжаем анализировать дампы, которые слили в открытый доступ хакеры из «Shiny Hunters». До этого они уже "сливали" базы данных promo.com, dave.com, liveauctioneers.com, mathway.com, Tokopedia.com, chronicle.com и даже исходные коды Microsoft. 😎

PostgreSQL-дамп базы пользователей «Scentbird» (сервис подписки на духи, который позволяет попробовать духи из широкого ассортимента), размером 2,18 Гб, содержит 5,816,041 строк:

🌵 имя/фамилия
🌵 адрес эл. почты
🌵 пол
🌵 дата рождения
🌵 дата создания/изменения профиля, первого посещения и последней смены пароля (самая свежая 22.06.2020)
🌵 хешированный (в основном bcrypt с солью, но 421 хешей – MD5) пароль и признак стойкости пароля (weak, medium, strong)
🌵 статус и тип подписки (стандартная, бесплатная)

На текущий момент “расшифровано” 154,2 тыс. паролей из этого дампа и только 2,6% пар логин/пароль – уникальные.

В свободный доступ попала база cтартапа «Apollo», который предоставляет бизнесам контакты их потенциальных клиентов на основе определенных алгоритмов поиска по базе контактов. Утечка произошла в 2018 г., и мы про нее писали.

Открытый Elasticsearch-сервер с индексом «contacts_v5» в котором находились данные «Apollo» изначально обнаружила компания «Night Lion Security», которую основал Vinny Troia и сервис (dataviper.io) которого был недавно взломан. 👇

‼️ Из этого следует очень нехороший вывод - исследователь Vinny Troia не просто находит и сообщает о найденных серверах, как это делаем мы и другие исследователи, но и скачивает данные и добавляет их в свой сервис, к которому затем продает доступ. 😱 Про исследование dataviper.io и его утечку мы готовим отдельную большую статью, обещаем, что будет очень интересно. 🔥🔥🔥

В дампе apollo.io 61,399,999 строк общим размером 383 Гб:

🌵 имя/фамилия
🌵 адрес эл. почты
🌵 телефон
🌵 должность
🌵 область деятельности
🌵 место работы
🌵 данные о работодателе
🌵 профиль в LinkedIn

Появился полный дамп форума dumpz.ru (один из старейших компьютерных форумов).

В MySQL-дампе содержится информация о 227,925 зарегистрированных пользователях и их активности на форуме, включая:

🌵 логин
🌵 адрес эл. почты
🌵 дата рождения
🌵 местоположение
🌵 идентификаторы Skype, ICQ
🌵 IP-адрес и цифровой отпечаток браузера
🌵 дата регистрации и последней активности (с 19.11.2003 по 20.07.2020)
🌵 хешированный пароль

Дамп датируется 20.07.2020.

В свободный доступ попала база зарегистрированных пользователей платформы appen.com / crowdflower.com – поставщика услуг асессоров для различных компаний (Google, IBM и т.п.). «Appen» – публичная австралийская компания, использующая краудсорсинг для сбора и обработки данных.

В базе 5,888,674 строк, содержащих:

🌵 имя
🌵 адрес эл. почты (90,935 в зоне .ru)
🌵 телефон
🌵 хешированный (bcrypt) пароль (1,226,831 записей)
🌵 IP-адрес
🌵 дата создания/обновления профиля и последнего входа в систему (самая свежая 22.06.2020)
🌵 счетчик количества входов в систему (всего 32,460 записей имеют значение больше нуля)

Эту базу выложили хакеры из «Shiny Hunters», до этого они уже "сливали" данные scentbird.com, promo.com, dave.com, liveauctioneers.com, mathway.com, Tokopedia.com, chronicle.com и даже исходные коды Microsoft.

Провели свое собственное расследование того, как вычислили хакера, причастного к недавнему взлому Twitter.

И у нас кое-что не сходится... 😂

https://habr.com/ru/post/513402/

UPD. Все сошлось, после того, как в отчете спецагента США была обнаружена опечатка. 🤣

«Коммерсантъ» пишет, что злоумышленники выставили на продажу личные данные около 1 млн. водителей Москвы и Подмосковья:

На одном из форумов, специализирующихся на продаже баз данных и организации утечек информации, 24 июля выставлен на продажу архив с базой данных автомобилистов, обнаружил “Ъ”. В нем содержатся файлы Excel в целом примерно на 1 млн строк с личными данными водителей по Москве и Московской области, актуальными на конец 2019 года. Начальная цена — $1,5 тыс. Продавец также приложил скриншот таблицы. Из него следует, что в файле следующие строки: дата регистрации автомобиля, государственный регистрационный знак, марка, модель, год выпуска, фамилия, имя и отчество владельца, его телефон и дата рождения, регион регистрации, VIN-код, серия и номер свидетельства о регистрации и ПТС.

Мы неоднократно писали про эту базу, тут: https://t.iss.one/dataleak/1375 и тут: https://t.iss.one/dataleak/1349.

Эти данные давно продаются на черном рынке. Цена одного месяца колеблется от 3,5 до 10 тыс. рублей. 💰

Мы предполагаем (по характеру данных), что база получена из страховой компании, а не из ГИБДД. 😎

Кстати, в том объявлении о продаже, которое журналисты обнаружили на форуме XSS, уже написано, что база продана. 😱

Уважаемые читатели, по традиции мы предлагаем вам дайджест наиболее значимых утечек прошедшего месяца! 🔥

Очередной выпуск ежемесячного дайджеста наиболее интересных публикаций в июле 2020 г.

«Коммерсантъ» обнаружил в продаже базу данных голосовавших по поправкам к Конституции:

Корреспондент “Ъ” связался с продавцом, который заявил, что база «полностью свежая». В условиях повышенного спроса ему удалось продать уже 30 тыс. строк данных.

Это та же самая база, что распространялась в открытом доступе после расследования «Медузы», содержащая "расшифрованные" номера паспортов, используемые приложением, разработанным для членов участковых избирательных комиссий. 😂

Кому может понадобиться покупать базу, которая находится в свободном доступе (буквально в соседней теме на том же самом форуме – про это писали тут), мы не понимаем. 🤷‍♂️

Из продающейся базы удалено 6,763 номеров паспортов (по сравнению с той базой, что находится в паблике), которые, вероятно, относятся к недействительным.

«Британская стоматологическая ассоциация» («British Dental Association») подверглась атаке вируса-вымогателя и часть похищенных данных была выложена в открытый доступ.

Сайт ассоциации (bda.org) в данный момент показывает “заглушку”, сообщающую о неком киберинциденте.

30.07.2020 злоумышленники выложили 5,517 файлов (.doc, .xlsx, .msg и т.д.), содержащих данные сотрудников (включая трудовые договора, резюме и т.п. документы, относящиеся к кадровой службе).

Чуть позже злоумышленник сообщил, что ассоциация вышла на связь и удалил ссылку на скачивание данных. Однако, данные доступны для свободного скачивания на другом форуме.

В Надыме (ЯНАО), городской суд признал 22-летнего местного жителя виновным в продаже персональных данных клиентов компании «МТС».

Работая в офисе продаж дочерней компании ПАО «МТС», молодой человек воспользовался возможностью получать информацию об абонентах оператора связи, реализовав за 3 тыс. рублей персональные данные 26 абонентов. Проще говоря, сотрудник оператора занимался т.н. “мобильным пробивом”.

Он осужден по ч. 3 с. 183 УК РФ («незаконное разглашение сведений, составляющих коммерческую тайну, без согласия их владельца лицом, которому она стала известна по работе») и приговорен к 6 месяцам лишения свободы условно с установлением обязанностей, которые должен выполнять в течение года.


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут.

Продолжим анализировать дампы, выложенные в открытый доступ хакерами «Shiny Hunters». До этого они уже "сливали" данные appen.com, scentbird.com, promo.com, dave.com, liveauctioneers.com, mathway.com, Tokopedia.com, chronicle.com и даже исходные коды Microsoft.

На этот раз рассмотрим PostgreSQL-дамп базы пользователей платформы «ProctorU» (proctoru.com), обеспечивающей дистанционную сдачу студентами экзаменов. «ProctorU» известен тем, что фактически устанавливает на компьютеры сдающих экзамены шпионское ПО, мониторящее камеры, браузеры, файлы на дисках и т.п. 😱

Дамп, размером 261 Мб, содержит 444 275 строк:

🌵 имя/фамилия
🌵 логин
🌵 адрес эл. почты
🌵 домашний/рабочий/мобильный телефон
🌵 почтовый адрес (всего 58 из России)
🌵 дата создания/изменения профиля (самая свежая 26.06.2020)
🌵 хешированный (bcrypt с солью) пароль
🌵 признак гражданства ЕС
🌵 тип компьютера (PC, Mac)

В свободный доступ попала еще одна база, скачанная из недавно взломанного сервиса dataviper.io, исследователя Vinny Troia - логины и пароли пользователей сервиса бронирования ресторанов opentable.com.

В базе 20,801,059 строк, но всего около 12 млн. пар логин/пароль и при этом 0% уникальных пар. Т.е. в базе практически нет уникальных записей, которые бы не встречались ранее. 🤷‍♂️

Это может говорить либо о том, что база сфабрикована (путем добавления строк из других утечек), либо эта база уже попала в коллекцию утечек ранее в составе крупных "сборников" (таких, как «Collection #1» и др.). 😎

Сам сервис «OpenTable» в конце 2017 г. осуществил принудительный сброс паролей пользователей, но утечку не признал. 🤣

Очередной масштабный слив исходных кодов – на этот раз утекли исходники компании «Intel». 🔥🔥🔥

Вчера вечером в открытый доступ было выложено 16,9 Гб файлов, содержащих, в том числе, конфиденциальные документы «Intel» и исходные коды.

Это только первая часть масштабной утечки. Остальные части должны появится позже. 👍

Интересно, что часть документации и исходников изначально (в самой «Intel») хранились в запароленных ZIP-архивах и пароли, используемые в компании это “intel123” и “Intel123”. Однако, не ко всем архивам подходят эти пароли. 😎

Часть файлов датируется маем этого года. 😱

В мае «Shiny Hunters» выставили на продажу ($500) на «Empire Market» базу данных приложения для знакомств «Zoosk».

В мае 2016 г. база «Zoosk» уже “всплывала”, но оказалась фейком. Она была сфабрикована из утечки другого сервиса для знакомств – «Badoo» (в июне 2013 г. появилась база со 112 млн. пользователями этого сервиса). 😂

Несколько дней назад дамп (датирован 12.01.2020) появился в свободном доступе и на этот раз он действительно содержит данные зарегистрированных пользователей «Zoosk» - 29,186,508 строк:

🌵 имя/фамилия
🌵 адрес эл. почты
🌵 пол
🌵 дата рождения
🌵 дата создания/изменения профиля и последнего входа в систему (с 04.08.2007 по 12.01.2020)
🌵 страна (41,643 из России)
🌵 GPS-координаты
🌵 кого ищет (мужчину или женщину)
🌵 рост, тип тела, признак курения, наличие детей, домашние животные и многое другое

Немного "занимательных" цифр: 🤣

✅ 14,576,247 мужчин всего
✅ 11,002,226 женщин всего
✅ 12,655,409 ищут женщин
✅ 8,355,376 ищут мужчин
✅ 528,681 мужчин ищут мужчин
✅ 557,807 женщин ищут женщин

В Болгарии арестовали хакера «Instakilla», известного тем, что он взламывал сервер многопользовательской игры «Stalker-Online», ИБ-компании «Comodo», распространял (но не имел отношения к взлому) базу болгарской налоговой службы и многие другие базы, в основном взламывая форумы на движке «vBulletin».

На форуме «RaidForums» этот пользователь был забанен 03.08.2020 за мошенничество. 🤣

В конце 2016 г. произошла утечка более 93 млн. пользователей, включая хешированные (MD5) пароли, китайского видеохостинга Youku.com.

Мы проанализировали пары логин/пароль из этой утечки. Из 93,6 млн. пар почти 44% оказались уникальными и никогда ранее не встречались в других утечках.

Житель Екатеринбурга обнаружил на свалке несколько мешков с медицинскими документами, принадлежащие городской больнице № 40.

Большинство документов это акты сдачи-приемки работ, но среди них есть бумаги с персональными данными пациентов. Документы датированы 2002-2017 гг.

В открытый доступ выложены дампы пользователей двух форумов – «Cообщество QashqaiRussia» (qashqairussia.ru) и «Клуб Рено Дастер» (dusterclub.ru).

В первом дампе 10,403 строк, во втором - 12,479 строк, содержащие адреса эл. почты, хешированные (MD5) пароли и соль для хеширования.

Оба форума построены на движке «vBulletin».

В открытый доступ выложили дамп базы данных пользователей системы онлайн-бронирования трансферов «Кивитакси» (kiwitaxi.ru).

В дампе 336,079 строк, содержащих данные клиентов и сотрудников сервиса:

🌵 имя/фамилия
🌵 адрес эл. почты
🌵 телефон
🌵 должность (для сотрудников сервиса и некоторых других записей)
🌵 хэшированный (SHA2-512 и SHA1) пароль и соль для хеширования
🌵 токен авторизации OAuth (для сотрудников сервиса)

Судя по формату дампа, он сделан из MongoDB. Скорее всего сервер с данными был оставлен в открытом доступе. 🤦🏻‍♂️

В Олёкминском районе Якутии суд признал 24-летнего бывшего специалиста офиса обслуживания и продаж оператора сотовой связи виновным в нарушении тайны телефонных переговоров с использованием своего служебного положения (ч.2 ст.138 УК РФ).

В июле 2019 г. этот сотрудник, имея доступ к информации, со своего служебного компьютера без согласия абонента вошел в базу данных кампании и произвел детализацию его телефонных соединений за период с 1 июня по 1 июля 2019 г. Затем данные были переданы им за денежное вознаграждение третьему лицу (т.н. “мобильный пробив”).

Суда назначил наказание в виде обязательных работ сроком на 200 часов.


Про случаи задержания и осуждения лиц, так или иначе связанных с торговлей персональными данными мы писали тут.