في 22 نوفمبر ، أعلن خبيران DataViper Vinnie Troy و Bob Dyachenko عن اكتشاف قاعدة بيانات كبيرة (بعبارة ملطفة) تحتوي على بيانات شخصية لأكثر من مليار شخص (
أخبار ،
تقرير أصلي). كان خادم Elasticsearch متاحًا دون إذن ؛ في المجموع ، تم تخزين أكثر من 4 تيرابايت من البيانات هناك. واستنادا إلى العلامات الموجودة في السجلات ، فإن مصدر المعلومات كان شركتان تعملان مهنيا في جمع البيانات الشخصية وتراكمها. يزعم أن People Data Labs جمع أكبر قاعدة بيانات: يحتوي الخادم المفتوح على 3 مليارات من سجلاته (مع التكرارات) ، بما في ذلك أكثر من 650 مليون عنوان بريد إلكتروني.
لكن البريد لا يقتصر على. قارن الباحثون البيانات من قاعدة بيانات People Data Labs بالمعلومات الموجودة على خادم غير آمن ، ويبحثون عن سجلات عن أنفسهم هناك. لقد حصلنا على مصادفة كاملة تقريبًا: بيانات على الشبكات الاجتماعية ، وعناوين بريدية معروفة ، وأرقام هواتف (بما في ذلك رقم لم يتم استخدامه في أي مكان ، ويمكن لمشغل الاتصالات فقط معرفة ما يتعلق بانتمائه إلى شخص معين). وكذلك عنوان الإقامة الدقيق للمدينة والإحداثيات. من يمتلك الخادم المفتوح غير واضح ، فقد تم استضافته على منصة Google السحابية ، والتي لا تكشف عن معلومات العميل. من المحتمل أن يكون مالك الخادم عمومًا طرفًا ثالثًا حصل بشكل شرعي أو لا على حق الوصول إلى المعلومات.
من الواضح أن مجمعي البيانات الشخصية لا يهتمون بمثل هذا التسريب - فهم يكسبون من بيع المعلومات. ومن غير المحتمل أيضًا حدوث تسرب عرضي على جانب هذه الشركة ، حيث تم تخزين قواعد بيانات الشركات المنافسة على خادم واحد. بالطبع ، هذه ليست قواعد بيانات كلمات المرور (التي تم تسريبها بواسطة ملايين السجلات في الماضي) ، فهي لا تسبب أضرارًا مباشرة. لكن يمكنهم تسهيل عمل مجرمي الإنترنت المشاركين في الهندسة الاجتماعية. يجب ألا ننسى أن معظم هذه المعلومات يتم إرسالها من قِبلنا طوعًا - في ملفات تعريف LinkedIn ، ووظائف Facebook وما إلى ذلك. في مكان ما على كل مستخدم شبكة نشط تقريبًا ، يتم تخزين ملف شخصي مفصل للغاية ، يتم تحديثه باستمرار مع بيانات جديدة. يسمح لنا التسرب بتقدير الحجم: هناك شركتان خاصتان ، على الأرجح غير متصلتين بالدولة ، تجمعان المعلومات من المصادر المفتوحة ، وتمتلكان بيانات حول حوالي 15٪ من سكان العالم.
أعلن Facebook إغلاق ثغرة أمنية خطيرة في برنامج Whatsapp messenger (
الأخبار ،
النشرة الرسمية). عند معالجة البيانات الوصفية لملف فيديو بتنسيق MP4 ، يمكن أن ينتج عن تجاوز سعة المخزن المؤقت ، الأمر الذي يؤدي إلى تعطل التطبيق أو تنفيذ تعليمات برمجية عشوائية. من السهل استغلال الثغرة الأمنية: يكفي أن تعرف رقم الضحية وترسل لها ملف فيديو جاهزًا. إذا تم تمكين التنزيل التلقائي للمحتوى في التطبيق ، فلن تكون هناك حاجة إلى إجراءات إضافية من المستخدم (الاستنتاج: من الأفضل تعطيل التنزيل التلقائي).
تشبه مشكلة عدم الحصانة مشكلة Whatsapp أخرى تم اكتشافها وإغلاقها
في مايو من هذا العام . في هذه الحالة ، تم استدعاء تجاوز سعة المخزن المؤقت في الوحدة النمطية لاتصال VOIP ، وكانت العملية أكثر بساطة - لا تحتاج حتى إلى إرسال أي شيء ، بل يكفي لبدء مكالمة "خاطئة". كانت عواقب ثغرة مايو أكثر خطورة ، حيث تم استخدامها بشكل موثوق في الهجمات الحقيقية وانتشرت من قبل الشركات التي تبيع مآثر خدمات خاصة. علق مؤسس ماسح Telegram المنافس Pavel Durov على حد سواء بقابلية الضعف
لشهر مايو والخطيرة الجديدة. حجته ، باختصار: في Telegram لم يكن هناك مثل هذه الثغرات على نطاق واسع ، ولكن في Whatsapp هناك ، وبالتالي فهي غير آمنة. يمكن فهم Durov ، ولكن ليس حقيقة أنه يستحق إجراء استنتاجات بعيدة المدى حول أمان رمز الثغرات الأمنية
المغلقة . يمكنك استخلاص استنتاجات حول الهجمات الحقيقية ، ولكن هنا يعتمد الكثير على قاعدة شعبية البرنامج أو الخدمة.
ماذا حدث
يشارك خبراء Kaspersky Lab
توقعات لتطوير هجمات إلكترونية متطورة لعام 2020. على نحو متزايد ، تُجرى عمليات الإنترنت على نطاق واسع تحت "علامة زائفة": تتم إضافة "الأدلة" إلى الشفرة وجانب الخادم ، مما يؤدي إلى إسناد غير صحيح للحملة. هجمات بمساعدة أحصنة طروادة رانسومواري تصبح مستهدفة ، وحجم "تفجير السجاد" آخذ في الانخفاض. وهي تحدد هوية الضحايا القادرين على الدفع بدقة ، وهم مستهدفون على وجه التحديد. يُتوقع نمو الهجمات باستخدام أجهزة إنترنت الأشياء - وذلك من خلال اختراق الأجهزة المثبتة وإدخال خيول طروادة إنترنت الأشياء في شبكة الضحية.
جوجل
ترفع مكافأة اكتشاف نقاط الضعف في شريحة الأمان Titan M إلى مليون ونصف المليون دولار. يستخدم Titan M في أحدث هواتف Pixel الذكية (بدءًا من Pixel 3) ويوفر وصولاً آمنًا إلى البيانات الأكثر قيمة ، على سبيل المثال ، عند إجراء الدفعات. الحد الأقصى للدفع هو إيجاد ثغرة أمنية تسمح لك بتجاوز أنظمة الأمان عن بُعد.
يعد مقطع الفيديو أعلاه
مثالًا غريبًا
على الامتيازات المتصاعدة
من خلال وجود خلل في آلية التحكم في حساب المستخدم. قم بتنزيل الملف الثنائي الموقّع من Microsoft ، ومحاولة البدء بحقوق المسؤول ، والحصول على نافذة إدخال كلمة المرور ، وانقر فوق الارتباط الموجود في خصائص الشهادة ، وفتح المتصفح بامتيازات النظام. ثغرة أمنية في Windows 7 و 8 و 10 مغلقة
في 12 نوفمبر .
نظرت Check Point
إلى نقاط الضعف في البرنامج المفتوح المصدر الواسع المضمّن في تطبيقات Android الشائعة. لقد وجدنا مكتبات غير مسبوقة كجزء من تطبيق Facebook و WeChat و AliExpress. علق Facebook أن وجود ثغرة أمنية في الكود لا يضمن تشغيله: قد لا يتم تضمين رمز المشكلة ببساطة.
تم
اختراق موقع Monero للعملات المشفرة ، وفي 18 نوفمبر تم توزيع التوزيعات المعدلة مع وظيفة سرقة الأموال من محافظ المستخدمين.