Извештај: Еквадорска повреда открива осетљиве личне податке

Истраживачки тим впнМентор открио је велико кршење података које може утицати на милионе људи у Еквадору. Пропуштена база података укључује преко 20 милиона појединаца.

Наш тим је, под водством Ноам Ротем и Ран Лоцар, открио кршење података на незаштићеном серверу који се налази у Мајамију на Флориди. Чини се да је сервер у власништву еквадорске компаније Новаестрат.

Новаестрат је консултантска компанија која пружа услуге у области анализе података, стратешког маркетинга и развоја софтвера.

Кршење података укључује: велика количина осетљивих личних података на нивоу појединца. Чини се да се већина погођених особа налази у Еквадору.

Иако тачни детаљи остају нејасни, изгледа да је процурила база података садржавала информације добијене из спољних извора.

Ти извори могу обухватати државне регистре у Еквадору, аутомобилско удружење под називом Аеаде и Биесс, еквадорску националну банку.

Прекршај је затворен 11. септембра 2023. године.

Пример уноса у бази података

Кршење података укључује около 18 ГБ података. Колико 20 милиона појединаца може бити под утицајем овог кршења, иако се чини да неки подаци укључују особе које су већ умрле.

Да би се дао контекст о обиму ове цурења, Еквадор има око 16 милиона људи.

Појединци у бази података идентификовани су десетоцифрени ИД кодом. На неким местима у бази података исти тај десетоцифрени код назива се „цедула“ и „цедула_руц“.

У Еквадору, термин “цедула” или “цедула де идентидад” односи се на особу десетоцифрени национални идентификациони број, слично броју социјалног осигурања у САД-у.

Израз “РУЦ” односи се на јединствени регистар пореских обвезника Еквадора. Вриједност овдје може се односити на идентификациони број пореских обвезника неке особе.

Да бисмо проверили ваљаност базе података, покренули смо претрагу са случајним ИД бројем. Радећи то, успели смо да пронађемо и разне осетљиве личне податке.

Ево неколико примера личних података које можемо пронаћи:

• пуно име (прво, средње, последње)
• пол
• Датум рођења
• место рођења
• кућна адреса
• адреса Е-поште
• кућни, посао и бројеви мобилних телефона
• брачно стање
• датум венчања (ако је применљиво)
• датум смрти (ако је применљиво)
• Ниво образовања

Ево примера типичног уноса:

Такође је покренута и наша потрага за валидацијом базе података посебне финансијске информације у вези са рачунима који се воде код еквадорске националне банке Биесс (Ел Банцо дел Институто Ецуаториано де Сегуридад Социал), укључујући:

• Статус налога
• текуће стање на рачуну
• финансиран износ
• врста кредита
• локацију и контакт податке за локалну пословницу Биесс особе

Ево примера ове врсте података:

Један од најважнијих дијелова у вези с овим кршењем података је тај што укључује детаљне информације о члановима породице људи.

За сваки унос могли смо да видимо пуно име њихове мајке, оца и супружника. Такође смо могли да видимо „цедулу“ вредности сваког члана породице, који може бити национални идентификациони број.

У другом делу базе података нашли смо детаљне информације о запослењу. Били смо у могућности да погледамо:

• име послодавца
• локација послодавца
• матични порез послодавца
• звање
• информације о платама
• датум почетка посла
• датум завршетка посла

Изложена је и повреда података разне аутомобилске рекорде која може бити повезана са појединим власницима аутомобила путем њихових Порески идентификациони број.

Подаци о цурењу укључују број регистарских таблица аутомобила, марку, модел, датум куповине, последњи датум регистрације и друге техничке детаље о моделу.

Улаз за Јулиана Ассангеа

Унутар пропуштених записа пронашли смо улаз за Оснивач ВикиЛеакса Јулиан Ассанге.

Могли смо да видимо његово име, као и вредност „цедуле“ која може бити национални идентификациони број у Еквадору.

2012. године Асанжу је Еквадор добио политички азил. Ассанге је до априла 2023. године боравио у еквадорској амбасади у Лондону.

Асанж је ухапшен у амбасади од стране британских службеника за спровођење закона након што је Еквадор повукао свој азил тврдећи да је Ассанге више пута кршио услове за азил.

Цомпани Рецордс

Поред личних података, кршење података је открило и детаље везане за различите компаније у Еквадору.

Неке од изложених информација могу бити осетљиве. Били смо у могућности да видимо многе компаније Еквадорски идентификациони број пореских обвезника (РУЦ), заједно са адресом и подацима за контакт сваке компаније.

База података је такође наведена правни заступник сваке компаније и дали своје детаљне контакт информације.

Утицај кршења података

Иако је кршење података закључено, подаци који су процурили могу створити дуготрајна питања приватности за погођене особе.

Преваре и напади крађе идентитета

Изложене личне информације (ПИИ) укључују пуна имена, адресе, телефонске бројеве, е-пошту, податке о члановима породице и још много тога.

Ове информације остављају појединци ризикује е-пошта и телефонска превара. Хакери и друге злонамјерне странке могли би искористити пропуштене адресе е-поште и бројеве телефона циљати људе на преваре и нежељену пошту.

Напади крађе идентитета могу се прилагодити појединцима помоћу изложених детаља како би повећали шансе да људи кликну на везе.

Ово кршење података је посебно озбиљно само због тога колико је информација откривено о сваком појединцу. Пријевари би могли да користе ове информације успоставити поверење и преварити појединце у откривању више информација.

На пример, преварант се може претварати да је пријатељ члана породице коме је потребна финансијска помоћ. Могли би да поткрепе причу причу изложеним личним подацима како би изградили поверење.

Крађа идентитета и финансијска превара

Друго питање је изразито приватне и осетљиве природе неких информација које су процуриле.

Највише забрињавајуће, изгледа да процуривани подаци укључују националне идентификационе бројеве и јединствене бројеве пореских обвезника. Ово угрожава људе крађа идентитета и финансијска превара.

Злонамерна страна која има приступ процурјелим подацима могла би евентуално прикупити довољно информација стекните приступ банковним рачунима и још много тога.

Уз то, приступ аутомобилским детаљима може помоћи криминалцима у препознавању одређених возила и адреси њиховог власника.

Утицај на компаније у Еквадору

Кршење података такође би могло имати утицаја на еквадорске компаније. Подаци који су процурили укључивали су информације о запосленима многих компанија, као и детаље о неким компанијама.

Ове компаније могу бити изложене ризику пословна шпијунажа и превара. Познавање запослених у компанији могло би помоћи конкурентима или другим злонамерним странкама да прикупе додатне осетљиве податке компаније.

Савети стручњака

Једном када су подаци изложени у свету, они се не могу поништити. База података је сада затворена, али ове информације већ могу бити у рукама злонамерних страна.

Оваква кршења података могла су се спречити неким основним безбедносним мерама. Без обзира на величину ваше компаније, увијек бисте требали користити сљедеће сигурносне поступке:

• Осигурајте своје сервере
• Примените одговарајућа правила приступа
• Захтијевајте аутентификацију за приступ свим системима

За детаљнији водич о томе како заштитити своје пословање, погледајте како да заштитите своју веб локацију и интернетску базу података од хакера.

Како и зашто смо открили повреду

Истраживачки тим впнМентор открио је ово кршење као дио нашег велики пројекат веб мапа.

Под водством стручњака за безбедност Ран и Ноам, наш истраживачки тим скенира портове како би пронашао познате ИП блокове. Тим затим тражи рањивости у систему које би указивале на отворену базу података.

Једном када се установи кршење података, наш тим повезује базу података с власником. Затим контактирамо власника, информишемо их о угрожености и предлажемо начине како власник може да учини свој систем безбеднијим.

Као етички хакери и истраживачи, никада не продајемо, складиштимо или излажемо информације на које наилазимо.

Наш циљ је да побољшамо укупну сигурност и сигурност интернета за све.

О нама и претходним извештајима

впнМентор је највећа веб страница за преглед ВПН-а на свијету. Наш истраживачки лабораториј је про боно услуга која настоји да помогне мрежној заједници да се одбрани од сајбер претњи, док едукује организације о заштити података својих корисника..

Недавно смо открили масовну мрежу преваре која је циљала на Гроупон и онлине продавце карата. Открили смо и кршење података на платформи за е-пошту коју користи јужнокорејска компанија ДКЛОК.