Jelentés: Az ecuadori jogsértés érzékeny személyes adatokat tár fel

A vpnMentor kutatócsoportja nagy adatsértést talált, amely milliókat érinthet Ecuadorban. A kiszivárgott adatbázis tartalmazza több mint 20 millió ember.

Noam Rotem és Ran Locar vezetésével csapatunk felfedezte az adatok megsértését egy nem biztonságos kiszolgálón, amely Miami-ban található, Florida. Úgy tűnik, hogy a szerver az ecuadori Novaestrat cég tulajdonában van.

A Novaestrat tanácsadó cég, amely szolgáltatásokat nyújt az adatok elemzésében, a stratégiai marketingben és a szoftverfejlesztésben.

Az adatsértés a következőket foglalja magában: nagy mennyiségű érzékeny, személyesen azonosítható információ az egyéni szinten. Úgy tűnik, hogy az érintett személyek többsége Ecuadorban található.

Bár a pontos részletek továbbra sem tisztázottak, úgy tűnik, hogy a kiszivárogtatott adatbázis külső forrásokból származó információkat tartalmaz.

Ezek a források tartalmazhatják az ecuadori kormányzati nyilvántartásokat, az Aeade nevű autóipari szövetséget és a Biess-t, az ecuadori nemzeti bankot..

A jogsértést 2023. szeptember 11-én zárták le.

Példa az adatbázis bejegyzéseire

Az adatsértés kb 18 GB adat. Annyi mint 20 millió ember Ez a jogsértés befolyásolhatja, bár úgy tűnik, hogy néhány adat már elhunyt személyeket érint.

Hogy adjunk némi összefüggést a szivárgás mértékéről, Ecuadorban körülbelül 16 millió ember él.

Az adatbázisban szereplő személyeket egy tízjegyű azonosító kód azonosítja. Az adatbázis néhány helyén ugyanazt a tízjegyű kódot „cedula” és „cedula_ruc” -nek nevezik.

Ecuadorban a „cédula” vagy a „cédula de identtidad” kifejezés egy személyre utal tízjegyű nemzeti azonosító szám, hasonló az Egyesült Államok társadalombiztosítási számához.

A „RUC” kifejezés Ecuador egyedi adófizetői nyilvántartására utal. Az itt megadott érték utalhat egy személy adófizető azonosító számára.

Az adatbázis érvényességének ellenőrzése érdekében véletlenszerű azonosítószámú keresést végeztünk. Ezzel számos érzékeny személyes információt is megtalálhattunk.

Íme néhány példa a megtalálható személyes információkra:

• teljes név (első, középső, utónév)
• nem
• születési dátum
• Születési hely
• lakcím
• email cím
• otthoni, munkahelyi és mobiltelefon-számok
• családi állapot
• a házasság időpontja (adott esetben)
• halál dátuma (adott esetben)
• iskolai végzettség

Íme egy példa egy tipikus bejegyzésre:

Az adatbázis validálására irányuló kutatásunk szintén felmerült az ecuadori nemzeti banknál a Biessnél vezetett számlákkal kapcsolatos konkrét pénzügyi információk (El Banco del Instituto Ecuatoriano de Seguridad Social), beleértve:

• Fiók Állapot
• a számla aktuális egyenlege
• finanszírozott összeg
• hitel típusa
• a személy helyi Biess fióktelepének helyét és elérhetőségét

Íme egy példa az ilyen típusú adatokra:

Az adatok megsértésének egyik leginkább aggasztó része, hogy magában foglalja részletes információk az emberek családtagjairól.

Minden egyes bejegyzéshez meg tudtuk nézni a anyjuk, apa és házastársa teljes neve. Minden családtag „cedula” értékét is megtekintettük, amely lehet nemzeti azonosító szám.

Az adatbázis egy másik részében találtunk részletes foglalkoztatási információk. Meg tudtuk nézni az egyes személyek:

• munkáltató neve
• munkáltató helye
• munkáltató adószám
• munka megnevezése
• fizetési információk
• munka megkezdésének dátuma
• munka befejezési dátuma

Az adatsértés szintén ki van téve különféle autóipari nyilvántartások amelyek az egyes autótulajdonosokhoz kapcsolódhatnak adófizető azonosító száma.

A kiszivárgott információ tartalmazza az autó rendszámát, gyártmányát, modelljét, a vásárlás dátumát, a legutóbbi regisztráció dátumát és a modell egyéb műszaki adatait.

Belépés Julian Assange-hez

A kiszivárogtatott nyilvántartásokban találtunk egy bejegyzést a A WikiLeaks alapítója, Julian Assange.

Meg tudtuk nézni a nevét, valamint a „cedula” értéket, amely esetleg nemzeti azonosítószám lehet Ecuadorban..

2012-ben Ecuador politikai menedéket kapott Assange-nak. Assange 2023. áprilisáig tartózkodott a londoni ecuadori nagykövetségben.

Assange-ot a nagykövetségnél a brit rendészeti tisztviselők tartóztattak le, miután Ecuador visszavonta menedékjogát, azt állítva, hogy Assange többször megsértette menekültügyi feltételeit.

Vállalati nyilvántartások

A személyes adatok mellett az adatok megsértése az Ecuadorban működő különféle társaságokkal kapcsolatos részleteket tárt fel.

A feltárt információk némelyike ​​érzékeny lehet. Meg tudtuk nézni sok vállalat Ecuadori adófizető azonosító száma (RUC), az egyes vállalatok címeivel és elérhetőségeivel együtt.

Az adatbázis szintén fel van sorolva minden társaság jogi képviselője és megadta a részletes elérhetőségi adataikat.

Az adatok megsértésének hatása

Bár az adatsértés megszűnt, a kiszivárogtatott adatok létrehozhatnak hosszú távú adatvédelmi kérdések az érintett egyének számára.

Csalások és adathalász támadások

A nyilvánosságra hozott személyes adatok (PII) tartalmaznak teljes neveket, címeket, telefonszámokat, e-maileket, információkat a családtagokról és egyebeket.

Ez az információ magánszemélyeket hagy el e-mail és telefonos csalások veszélye. A hackerek és más rosszindulatú felek a kiszivárogtatott e-mail címeket és telefonszámokat használhatják a következő címre megcélozza az embereket csalásokkal és spammel.

Az adathalász támadások személyre szabottak lehetnek a nyilvánosságra hozott adatok felhasználásával, hogy növeljék annak esélyét, hogy az emberek a linkekre kattintanak.

Ez az adatsértés különösen súlyos pusztán azért, mert az egyes személyekről mennyi információ derült ki. A csalók ezt az információt felhasználhatják bizalmat teremt és becsapja az egyéneket további információk feltárására.

Például egy csaló úgy tehet, mintha pénzügyi segítségre szoruló családtag barátja. Bizalmat teremthetnek a történetről feltárt személyes adatokkal.

Személyi lopás és pénzügyi csalás

Egy másik kérdés a nagyon magán és érzékeny természetű néhány kiszivárogtatott információ.

Leginkább, a kiszivárogtatott adatok magukban foglalják a nemzeti azonosító számokat és az egyedi adófizetői számokat. Ez veszélyezteti az embereket személyazonosság-lopás és pénzügyi csalás.

A kiszivárogtatott adatokhoz hozzáférő rosszindulatú fél esetleg elegendő információt gyűjthet ahhoz hozzáférés bankszámlákhoz és még sok más.

Ezenkívül az autóipari részletekhez való hozzáférés segíthet a bűnözőknek az egyes járművek és a tulajdonos címének azonosításában.

Hatás az ecuadori vállalatokra

Az adatsértés hatással lehet az ecuadori vállalatokra is. A kiszivárgott adatok információkat tartalmaztak sok vállalat alkalmazottairól, valamint magukról néhány társaságról.

Ezeket a vállalatokat veszélyeztetheti üzleti kémkedés és csalás. A vállalat alkalmazottai ismerete segíthet a versenytársaknak vagy más rosszindulatú feleknek további érzékeny vállalati adatok gyűjtésében.

A szakértők tanácsai

Miután az adatok ki voltak téve a világnak, azokat nem lehet visszavonni. Az adatbázis már bezárt, de az információ valószínűleg már rosszindulatú felek kezében van.

Az ilyen típusú adatok megsértését néhány alapvető biztonsági intézkedéssel meg lehetett volna akadályozni. Nem számít, mekkora a cége, mindig a következő biztonsági gyakorlatokat kell alkalmaznia:

• Biztosítsa szervereit
• Végrehajtja a megfelelő hozzáférési szabályokat
• Minden rendszerhez való hozzáféréshez hitelesítést kell megkövetelni

Még részletesebb útmutatást talál a vállalkozásának védelméről, olvassa el webhelyének és online adatbázisának a hackerek elleni védelmét.

Hogyan és miért fedeztük fel a jogsértést

A vpnMentor kutatócsoport felfedezte ezt a megsértést a mi részünkben nagyszabású webes térképezési projekt.

A Ran és Noam biztonsági szakértők vezetésével kutatócsoportunk kikkendezi a portokat, hogy ismert IP blokkokat találjon. A csapat ezután keres biztonsági rések a rendszerben, amelyek nyílt adatbázist jeleznek.

Az adatok megsértése után csapatunk összekapcsolja az adatbázist a tulajdonoskal. Ezután felvesszük a kapcsolatot a tulajdonossal, értesítjük őket a biztonsági résről, és javaslatokat teszünk a tulajdonos rendszerének biztonságosabbá tételére.

Etikai hackerekként és kutatókként, soha nem adjuk el, tároljuk és nem fedjük fel az információkat, amelyekkel találkozunk.

Célunk az, hogy mindenki számára javítsuk az internet általános biztonságát.

Rólunk és korábbi jelentések

A vpnMentor a világ legnagyobb VPN-áttekintő webhelye. Kutatólaboratóriumunk egy pro bono szolgáltatás, amelynek célja, hogy segítse az online közösséget abban, hogy megvédje magát az internetes fenyegetésekkel szemben, miközben a szervezeteket oktatja felhasználói adatok védelméről..

Nemrég fedeztünk fel egy hatalmas csalási hálózatot, amely a Groupont és az online jegyszolgáltatókat célozta meg. A dél-koreai cég, a DKLOK által használt e-mail platformon adatmegsértést is találtunk.