Утечка информации «Тинькофф», «Озон» и других сервисов и банков на сервер Elasticsearch

06.04.2022

|

313

Исходя из информации телеграм-канала «Утечки иформации», с 1 апреля 2022 года в сети Интернет, находится в открытом доступе сервер Elasticsearch,в индексе которого содержатся СМС-сообщения от различных российских и зарубежных сервисов и банков.

Анализируя базу данных сервера Elasticsearch результаты показали, что там есть СМС с кодами подтверждений пользователей и информацией о балансе карт и прочим от (как указано в поле «отправитель», sender) «Аэрофлот», «Юла», «Озон», «Тинькофф», Google, Microsoft,и многих других.Также в базе данных сервера нашлись индексы с СМС арабских банков.

Первая запись в базе данных сервера была сделана в начале ноября 2021 года. Суммарный размер индексов для анализа на сервере составляет около 5ТБ.

Причина утечки информации в свободный доступ с данного сервера по мнению специалистов является ошибка администрирования Elasticsearch при настройке доступа.

Основатель сервиса поиска утечек и мониторинга даркнета DLBI Ашот Оганесян дал комментарий в котором пояснил, что сам сервер находится на площадке Amazon в США. Причем эксперты DLBI не смогли идентифицировать владельца сервера. Он продолжает находится в отрытом доступе до сих пор.По мнению специалистов, это сервер компании, предоставляющей свой сервис по услугам СМС-рассылок различным партнерам и крупным клиентам.

Эксперты DLBI также выяснили, что один из индексов (send_record_202204) постоянно обновляется: туда добавляются новые СМС от различных сервисов и банков.Основная часть номеров телефонов получателей скрыта звездочками.Информация содержащаяся в сообщениях, в том числе одноразовые коды для двухфакторной аутентификации и восстановления паролей, хранится на этом сервере в открытом виде.

Наглядный пример данных с сервера с отправителем Ozon

В середине июня специалистами DLBI был обнаружен в открытом доступе сервер Elasticsearch, в индексе которого содержатся СМС-сообщения, предположительно, отправленные с номера 900. Сервер находился за пределами России. В Сбербанке после громкого инцидента заявили, что это фейковый сервер. Но, после передачи информации о нем в ИБ-службу «Сбера», доступ к серверу остался открыт, но все индексы Elasticsearch на сервере, включая все данные по СМС, были стерты.