Logo hr.nowadaytechnol.com

Pojedinosti O Kreditnoj Kartici, Uključujući Osobne Podatke, IP Adrese I Drugu Komunikaciju Koja Je Izložena Softveru Za Terenski Rad

Sadržaj:

Pojedinosti O Kreditnoj Kartici, Uključujući Osobne Podatke, IP Adrese I Drugu Komunikaciju Koja Je Izložena Softveru Za Terenski Rad
Pojedinosti O Kreditnoj Kartici, Uključujući Osobne Podatke, IP Adrese I Drugu Komunikaciju Koja Je Izložena Softveru Za Terenski Rad

Video: Pojedinosti O Kreditnoj Kartici, Uključujući Osobne Podatke, IP Adrese I Drugu Komunikaciju Koja Je Izložena Softveru Za Terenski Rad

Video: Pojedinosti O Kreditnoj Kartici, Uključujući Osobne Podatke, IP Adrese I Drugu Komunikaciju Koja Je Izložena Softveru Za Terenski Rad
Video: VELIKI ETH UPGRADE ZA 2 DANA 2024, Ožujak
Anonim
Image
Image

Otkriveno je da su osjetljivi privatni i financijski podaci stotina korisnika kreditnih kartica pohranjeni u bazu podataka koja je nesigurna. Istraživači koji pokreću jednostavan program za skeniranje otkrili su bazu podataka koja je izložena na Internetu u vlasništvu Fieldwork Software-a. Šokantno, dat je sadržavao opsežne financijske detalje koji su pripadali poslovnim klijentima. Pored podataka o kreditnoj kartici, potencijalno bi se mogli pristupiti i iskoristiti drugi vrlo osjetljivi podaci poput povezanih imena, GPS-a, pa čak i komunikacija između klijenta i davatelja usluga. Zabrinjavajući aspekt je taj što je projekte skeniranja koji su otkrili propusnu bazu podataka prilično lako implementirati i sve ih više koriste profesionalne hakerske skupine za iskorištavanje financijskih podataka ili biljnih zlonamjernih programa.

Istraživači koji rade za vpnMentor cybersecurity koji su otkrili naizgled izloženu bazu podataka Fieldwork Software ponudili su svoja otkrića putem bloga. Tim, koji su činili Noam Rotem i Ran Locar, pokazao je da je ostalo izloženo oko 26 GB datuma. Jasno je da baza podataka namjerno nije izložena. Međutim, otkriće izlaže opasnosti da financijske informacije ostanu iskoristive bilo kojoj skupini programera koji znaju gdje potražiti ili pokrenuti slučajni lov na distributere ili baze podataka koje nisu pravilno osigurane. Zanimljivo je da veličina datuma ne može biti velika, ali se priroda informacija može potencijalno iskoristiti za pokretanje nekoliko masovnih digitalnih financijskih pljački.

Nezaštićena baza podataka Elasticsearch izlaže 2 milijarde korisničkih zapisa s pametnih kućnih uređaja: Istraživači sigurnosti Noam Rotem i Ran Locar iz vpnMentor nedavno su u svom izvještaju otkrili da je kineska tvrtka za upravljanje IoT-om sa sjedištem u Shenzhenu… https://t.co/a9eqEqTFt6 pic.twitter.com/AyQ8QPrVli

- CS Threat Intel (@cipherstorm) 5. srpnja 2019

Softver za terenski rad u vlasništvu Anstara imao je propusnu bazu podataka koja je bila osigurana lošim sigurnosnim protokolima

Istraživači cybersecurity vpnMentor otkrili su izložene i u biti zaštićene lošim sigurnosnim protokolima tijekom projekta web skeniranja. Tekući projekt tvrtke u osnovi njuška po internetu tražeći luke. Ti su lukovi u osnovi pristupnici bazama podataka koje se obično pohranjuju na poslužiteljima. Projekt je dio inicijative za lov i otkrivanje luka koje slučajno ili nenamjerno ostanu otvorene ili nesigurne. Takve se luke mogu lako iskoristiti za uklanjanje ili prikupljanje podataka.

U nekoliko su navrata takve luke postale izvor curenja slučajnog javnog otkrivanja osjetljivih korporativnih podataka. Štoviše, nekoliko poduzetnih skupina hakera često pažljivo pregledava podatke i traži više potencijalnih ruta za iskorištavanje. ID-ovi e-pošte, telefonski brojevi i drugi osobni podaci često se koriste za pokretanje napada koji se oslanjaju na socijalni inženjering. Naizgled autentične e-adrese i telefonski pozivi koristili su se u prošlosti kako bi žrtve otvorile e-poštu i zlonamjerne privitke.

Procurilo je osjetljivo kupac: Naši etički hakeri pronašli su otvorenu bazu podataka Fieldwork-a, dobavljača SMB softvera, koja sadrži brojeve kreditnih kartica, adrese, pa čak i kodove alarma i lozinke >> https://t.co/NluDR1wVLF#databreach pic.twitter. com / ecrYw6Gzht

- vpnMentor (@vpnmentor) 8. srpnja 2019

Softver za terenski rad u osnovi je platforma namijenjena malim i srednjim poduzećima (SMB). Daljnje suženo ciljno tržište tvrtke u vlasništvu Anstara su mala i srednja poduzeća koja nude usluge na vratima kupaca. MSP koji nude kućne usluge trebaju puno informacija i alata za praćenje kako bi osigurali optimalno upravljanje korisničkom uslugom i upravljanje odnosima s kupcima. Platforma Fieldwork-a uglavnom se temelji na oblaku. Rješenje nudi tvrtkama da prate svoje zaposlenike koji obavljaju kućne pozive. To pomaže u uspostavljanju i održavanju CRM zapisa. Uz to, platforma nudi još nekoliko značajki za pružanje usluga klijentima, uključujući raspoređivanje, fakturiranje i sustave plaćanja.

Izložena baza podataka sadržavala je financijske i osobne podatke poslovnih klijenata Fieldwork Software-a. Inače, s 26 GB veličina baze podataka izgleda prilično mala. Međutim, baza podataka navodno je sadržavala imena kupaca, adrese, brojeve telefona, e-poštu i komunikaciju poslanu između korisnika i klijenata. Šokantno je da je ovo bio samo dio baze podataka. Ostale komponente koje su ostale izložene uključivale su upute poslane servisiranju zaposlenika i fotografije radilišta koja su zaposlenici snimali.

Ako to nije dovoljno loše, baza podataka sadržavala je i osjetljive osobne podatke o fizičkim lokacijama klijenata. Informacije su navodno uključivale GPS lokacije klijenata, IP adrese, pojedinosti o naplati, potpise i potpune podatke o kreditnoj kartici - uključujući broj kartice, datum isteka i CVV sigurnosni kod.

twitter.com/autumn_good_35/status/1148240266626605056

Iako su informacije klijenata bile izložene, vlastita platforma Fieldwork Software-a također je ostala ranjiva. To je zato što je baza podataka također sadržavala veze za automatsku prijavu koje se koriste za pristup portalu usluge Fieldwork. Jednostavnim riječima, digitalni ključevi pozadinskog sustava i administracije platforme također su bili prisutni u bazi podataka. Nepotrebno je reći da je zlonamjerni ili poduzetni haker mogao bez većih poteškoća lako probiti osnovnu platformu Fieldwork-a. Štoviše, kada uđe, haker može lako poremetiti platformu i prouzročiti gubitak reputacije, upozorio je istraživače vpnMentor cybersecurity,

Pristup portalu posebno je opasan podatak. loš glumac može iskoristiti taj pristup ne samo korištenjem detaljnih klijentskih i administrativnih zapisa koji su tamo pohranjeni. Također bi mogli zaključati tvrtku s računa uvođenjem pozadinskih promjena.”

Terenski softver brzo djeluje i krši priključke:

Istraživači cybersecurity vpnMentor kategorički su primijetili da je Fieldwork Software djelovao vrlo brzo i uklonio sigurnosni proboj. U osnovi, vpnMentor je Fieldwork-u otkrio postojanje baze podataka koja curi prije javnog objavljivanja, a potonji je zatvorio curenje u roku od 20 minuta od primitka e-pošte istraživača.

@TeriRnNY Zahvaljujemo na vašem izvještaju. Samo ažurirajte status ovog problema: vpnMentor je potvrdio da je ORVIBO osigurao sustav baze podataka, a također su ažurirali i povezani članak. Molimo vas pomozite ga ažurirati na https://t.co/8VeYYYwWnd. Hvala pic.twitter.com/gGo1uadG3

- ORVIBO (@ORVIBO) 4. srpnja 2019

Ipak, tijekom neotkrivenog razdoblja cijela platforma Fieldwork Software-a, njegova baza podataka klijenata i njegovi klijenti također su bili izloženi velikom riziku od prodora i eksploatacije. Ono što je zabrinjavajuće jest da baza podataka nije sadržavala samo osjetljive digitalne podatke, već i podatke o stvarnom ili fizičkom položaju. Prema istraživačima koji su provodili istraživanje, baza podataka sadržavala je „ termini za sastanke i upute za pristup zgradama, uključujući kodove alarma, kodove pretvarača, lozinke i opise mjesta skrivanja ključeva. Dodijelili su da su takvi zapisi očišćeni nakon 30 dana od stvaranja, ali ipak, hakeri bi s takvim informacijama mogli organizirati napade na fizička mjesta. Poznavanje mjesta ključeva i pristupnih kodova omogućilo bi napadačima da lako prodru u sigurnost bez pribjegavanja nasilju ili sili.

Brza akcija Fieldwork Software-a pohvalna je pogotovo jer se obavijesti o povredama datuma često susreću s ozbiljnim kritikama, poricanjem i protuoptužbama za korporacijsku sabotažu. Češće nego ne, tvrtke si oduzimaju slatko vrijeme kako bi zatvorile sigurnosne rupe. Bilo je prilično malo slučajeva u kojima su tvrtke izravno negirale postojanje izloženih ili nesigurnih baza podataka. Stoga je zabrinjavajuće vidjeti kako tvrtke brzo shvaćaju situaciju i brzo djeluju.

Preporučeni: