डेटा कहां जाता है: 12 हमले, हैक और लीक

फेसबुक और कैम्ब्रिज एनालिटिका, स्पेक्टर और मेल्टडाउन घबराहट, नकली समाचार 2018 की घटना हिमशैल का सिर्फ टिप है। पिछले साल सूचना सुरक्षा पेशेवरों और कई उपयोगकर्ताओं के लिए गर्म था, जिन्हें जल्दी में पासवर्ड जमा करना था। बाइनरी डिस्ट्रिक्ट में हमने 2018 में होने वाले 12 खुलासा हैक, हैक और डेटा लीक का चयन किया।



सूची में उन भेद्यताओं के बारे में कहानियाँ हैं जो Google+, बहुत बातूनी एलेक्सा, विश्वासघाती हेडफ़ोन, एक लापरवाह ब्राज़ीलियन व्यवस्थापक, फेसबुक पर बगों का तालमेल और एक अभूतपूर्व DDoS लेकर आई हैं।

चार हैकर ने हमला किया

बस अंतरिक्ष, या 13 मिलियन डॉलर कैसे खोना है

क्या हुआ? अगस्त 2018 में, हैकर्स ने सात घंटे में एटीएम के माध्यम से भारतीय कॉसमॉस बैंक के खातों के साथ 15,000 से अधिक अवैध लेनदेन किए , और अगले दिन स्विफ्ट सिस्टम के माध्यम से कई बड़े हस्तांतरण किए।

क्या कारण है ऑपरेशन के पहले चरण में, कई क्लोन बैंक कार्ड का उपयोग किया गया था, जो जारीकर्ताओं में से एक के सिस्टम में अज्ञात भेद्यता के कारण बनाया गया था। उनकी मदद से हैकर साथी एटीएम से कैश निकाल रहे थे। दूसरे चरण में, संभवतः, मैलवेयर डीपेक का एक नया संस्करण इस्तेमाल किया गया था, जो आपको बैंकिंग नेटवर्क में स्थानांतरण के प्राधिकरण को बाईपास करने और उनके कार्यान्वयन पर रिपोर्ट छिपाने की अनुमति देता है।

जांच के प्रयोजनों के लिए विवरण का खुलासा नहीं किया गया था, लेकिन हमला उत्तर कोरियाई हैकर समूह APT38 से जुड़ा है, जो स्विफ्ट को हैक करने में माहिर है।

परिणाम क्या हैं। कॉसमॉस बैंक का नुकसान लगभग 13 मिलियन डॉलर था, उनमें से दो हांगकांग के बैंकों में से एक में थे, बाकी - "मनी म्यूल्स" के हाथों नकद में। स्विफ्ट और हैकर्स के बीच हथियारों की दौड़ जारी है, और 2019 में हमें बैंकों पर हमलों के बारे में नए संदेश प्राप्त होने की संभावना है।

फेसबुक बुरी किस्मत

क्या हुआ? अमेरिकी चुनावों के आसपास का घोटाला अभी तक समाप्त नहीं हुआ था, क्योंकि सितंबर 2018 में यह ज्ञात हो गया कि हैकर्स लाखों फेसबुक उपयोगकर्ताओं के डेटा तक पहुंच हासिल करने में कामयाब रहे।

क्या कारण है हैकिंग संभव नहीं होता अगर यह वीडियो डाउनलोडर में बग्स के संयोजन के लिए नहीं होता , जो सिंगल साइन-ऑन तकनीक और "हाउ हाउ" फीचर का उपयोग करता है। उनकी मदद से, हैकर्स ने बड़े पैमाने पर टोकन एकत्र किए जो एक मोबाइल एप्लिकेशन उत्पन्न करता है, ताकि जब सोशल नेटवर्क मॉड्यूल के साथ वेब पेज लोड हो, तो फिर से लॉग इन करना आवश्यक नहीं है।

परिणाम क्या हैं। हैकर्स को 30 मिलियन खातों की जानकारी मिली है। फोन नंबर और ईमेल पते लीक, प्रोफाइल में निर्दिष्ट डेटा, उपकरणों के प्रकार पर डेटा जिसमें से उपयोगकर्ता सामाजिक नेटवर्क, अंतिम 10 चिह्नित स्थानों और 15 खोज प्रश्नों में प्रवेश करता है।

टोकन का उपयोग किसी भी नेटवर्क संसाधनों तक पहुंचने के लिए किया जा सकता है जहां फेसबुक के माध्यम से प्राधिकरण लागू किया जाता है। एफबीआई ने जांच के विवरण का खुलासा नहीं किया, लेकिन उपलब्ध जानकारी को देखते हुए, हैकर्स ने अपनी योजनाओं का एहसास नहीं किया। घुसपैठ का पता चलने के बाद, भेद्यता को बंद कर दिया गया था, और फेसबुक टीम ने प्रभावित उपयोगकर्ताओं के लिए प्राधिकरण टोकन हटा दिया (और एहतियात के रूप में एक और 60 मिलियन)।

बड़ा धोखा

क्या हुआ? ऑनलाइन विज्ञापन के साथ सबसे बड़ी और सबसे जटिल धोखाधड़ी योजनाओं में से एक की खोज की गई थी, जिसमें 10,000 नकली डोमेन का नेटवर्क और एक बॉटनेट शामिल था जो एक मिलियन से अधिक आईपी पते को नियंत्रित करता था। अपने चरम पर, रोजाना 3 बिलियन से अधिक विज्ञापन छापें उत्पन्न होती हैं।

क्या कारण है बॉटनेट बनाने के लिए, हैकर्स ने मिउरफ और बोक्सएक्स ट्रोजन का इस्तेमाल किया, जो कि बीजीपी के उद्देश्य से किए गए हमले हैं - सीमा प्रवेश द्वार के प्रोटोकॉल, साथ ही साथ एम्बेडेड अनुप्रयोगों के साथ मोबाइल एप्लिकेशन। उन्होंने विज्ञापन नेटवर्क पर हमलों के कई वैक्टर विकसित किए और उन्हें बदल दिया क्योंकि वे Google विशेषज्ञों द्वारा खोजे गए थे। इसके अलावा, बॉट्स ने मानव व्यवहार, माउस आंदोलनों और यादृच्छिक क्लिकों का सफलतापूर्वक अनुकरण किया।

परिणाम क्या हैं। हैकर्स पाए गए हैं, उन पर औपचारिक रूप से आरोप लगाए गए हैं , लेकिन विज्ञापन उद्योग के वित्तीय नुकसान का आकलन किया जाना अभी बाकी है।

Google दुरुपयोग के लिए विज्ञापन नेटवर्क की संभावित कमजोरियों पर ध्यान देने और विज्ञापन मानक जैसे उद्योग मानकों के निर्माण और अपनाने को प्रोत्साहित करता है। कंपनी ने इस योजना में भाग लेने वाले Google Play अनुप्रयोगों से हटा दिया, जिसमें 200,000 इंस्टालेशन के साथ सबसे लोकप्रिय थर्ड-पार्टी कीबोर्ड - Kika कीबोर्ड सहित एक क्लिक इंजेक्शन और / या बाढ़ तंत्र का उपयोग किया गया था।

रेडिट हैक किया गया

क्या हुआ? जून 2018 में, हैकर्स ने साइट के कर्मचारियों के खातों से समझौता किया और कई अनाम प्रणालियों, Reddit स्रोत कोड, प्रलेखन, उपयोगकर्ता ईमेल पते का हिस्सा और पुराने बैकअप तक पहुंच प्राप्त की।

क्या कारण है प्राधिकृत करने के लिए व्यवस्थापकों ने एसएमएस के माध्यम से द्वि-कारक प्रमाणीकरण प्रणाली का उपयोग किया। पुष्टि कोड को रोककर हमला किया गया था। हैकर्स एक सिम की नकल कर सकते हैं, एक टेलीकॉम ऑपरेटर के कर्मचारियों को धोखा दे सकते हैं और कार्ड जारी कर सकते हैं या एक पुराने SS7 प्रोटोकॉल पर हमला कर सकते हैं।

परिणाम क्या हैं। साइट के स्रोत कोड तक पहुंच से नए हमले हो सकते हैं। Reddit ने आंतरिक सूचना सुरक्षा नियमों में संशोधन और 2FA टोकन में परिवर्तन की घोषणा की, जो नियमित रूप से एक नया पुष्टिकरण कोड उत्पन्न करते हैं। प्रभावित उपयोगकर्ताओं को सूचनाएं मिलीं, लेकिन हम फिर से एसएमएस प्रमाणीकरण की अपूर्णता के बारे में आश्वस्त हो गए।

तीन गुस्सा फकपा

अपाचे ब्राजील

क्या हुआ? 120 मिलियन ब्राजील के करदाताओं की पहचान संख्या (TIN एनालॉग) - देश की आबादी का लगभग 57% - साथ ही व्यक्तिगत जानकारी: पते, फोन नंबर, ऋण पर डेटा, आदि स्वतंत्र रूप से उपलब्ध थे ।

क्या कारण है गलत तरीके से अपाचे HTTP सर्वर को कॉन्फ़िगर किया गया है, जिसका व्यवस्थापक ने मानक index.html का नाम बदलकर index.html_bkp कर दिया है। घटना का दोषी अज्ञात बना हुआ है। उन्होंने शायद यह महसूस नहीं किया कि उन्होंने निर्देशिका की सभी फाइलों के लिए निर्देशिका सूची को सक्रिय कर दिया है।

परिणाम क्या हैं। ब्राजील की कर पहचान संख्याएं बैंक खाते खोलने, ऋण प्राप्त करने और कानूनी संस्थाओं को पंजीकृत करने के लिए आवश्यक हैं। थोड़ा सा सोशल इंजीनियरिंग - और ऐसा डेटा आसान पैसे में बदल जाता है। आधार जल्द ही डार्कनेट पर उपलब्ध होने की संभावना है।

सेनहाइजर प्रमाणपत्र

क्या हुआ? सेनहाइजर हेडसेट और हेडसेट प्रो के डेवलपर्स, नेटवर्क पर कॉल करने के लिए सॉफ्टवेयर, कई साल पहले डेल और लेनोवो के समान ही कदम रखा। उन्होंने असुरक्षित रूट प्रमाणपत्र का इस्तेमाल किया।

क्या कारण है हेडसेट के साथ, कंप्यूटर पर रूट प्रमाणपत्र के एक जोड़े को स्थापित किया गया था। निजी कुंजी को SennComCCKey.pem फ़ाइल में सहेजा गया था, जहाँ से उन्हें निकालना आसान है । इस प्रकार, हमलावर उन्हें नकली प्रमाण पत्र, वैध साइटों और इतने पर उपयोग कर सकते थे।

परिणाम क्या हैं। सेनहाइज़र ने अपने कार्यक्रमों के अपडेट जारी किए हैं , लेकिन सभी सिस्टम जिन पर हेडसेटअप वर्जन 7.3, 7.4 और 8.0 इंस्टॉल किए गए थे, वे मैन-इन-बीच जैसे हमलों की चपेट में रहते हैं। कार्यक्रमों को अद्यतन या हटाया जा सकता है, लेकिन 2027 और 2037 तक मान्य प्रमाणपत्रों से छुटकारा पाना इतना सरल नहीं है। वे ट्रस्ट स्टोर ऑपरेटिंग सिस्टम में बने रहते हैं और उन्हें हटाने की आवश्यकता होती है।

एलेक्सा आपको अपने बारे में सब कुछ बता देगी

क्या हुआ? अमेज़न, GDPR के तहत एक अनुरोध के जवाब में, गलत व्यक्ति को 1,700 स्मार्ट रिकॉर्डिंग भेजा। उन्हें सुनने के बाद, मालिक और उसके घर की पहचान करना संभव था, पता लगाने के लिए और संगीत विवरणों जैसे कई विवरण।

क्या कारण है बिजनेस इनसाइडर पत्रकारों के साथ बातचीत में एक कंपनी के प्रतिनिधि ने इसे एक पृथक मामले के रूप में वर्णित किया और मानव कारक को संदर्भित किया।

लेकिन इसी तरह की स्थितियां असामान्य नहीं हैं। तो, संयुक्त राज्य अमेरिका में लागू "सूचना की स्वतंत्रता के कानून पर नियंत्रण" के ढांचे के भीतर, जिसे अधिकारियों के काम की पारदर्शिता बढ़ाने के लिए डिज़ाइन किया गया है, कोई भी सरकारी एजेंसियों से कुछ डेटा का अनुरोध कर सकता है। इस तरह के अनुरोध के जवाब में, सिएटल सिटी हॉल ने 32 मिलियन अक्षरों के मेटाडेटा के साथ, प्रत्येक संदेश के 256 प्रथम अक्षर इंटरनेट कार्यकर्ता मैट चैपमैन को भेजे । इनमें यूजर्स के नाम और पासवर्ड, क्रेडिट कार्ड नंबर, सोशल सिक्योरिटी कार्ड और ड्राइविंग लाइसेंस, पुलिस रिपोर्ट, एफबीआई जांच डेटा और अन्य गोपनीय जानकारियां थीं। और स्वीडिश सरकार ने गलती से गवाह सुरक्षा कार्यक्रम और कई कानून प्रवर्तन अधिकारियों के प्रतिभागियों के व्यक्तिगत डेटा का खुलासा किया ।

परिणाम क्या हैं। ऊपर वर्णित मामलों की तुलना में, अमेज़ॅन की घटना अपेक्षाकृत हानिरहित है। हालांकि, यह आपको यह सोचने में सक्षम बनाता है कि क्या यह घर में स्मार्ट उपकरणों को देने के लायक है, विशेष रूप से वे जो सुन सकते हैं, और जीडीपीआर उस हैकर के लिए कितना उपयोगी हो सकता है जिसने पहले ही आपके खाते तक पहुंच प्राप्त कर ली है।

कमजोरियों के एक जोड़े ने (लगभग) सेवाओं को मार डाला

Microsoft Achilles हील

क्या हुआ? एक सेफ्टी डिसेक्टिव कर्मचारी ने माइक्रोसॉफ्ट वेब सेवाओं में महत्वपूर्ण कमजोरियों की एक श्रृंखला की खोज की , जिसने सात चरणों में success.office.com तक पहुंचने और कंपनी की ओर से फ़िशिंग लिंक के साथ ईमेल भेजने की अनुमति दी।

क्या कारण है पहुंच बिंदु टूटी हुई एज़्योर वेब एप्लिकेशन थी। इसकी मदद से success.office.com डोमेन पर नियंत्रण रखने के बाद, शोधकर्ता ने प्राधिकरण प्रणाली को बायपास करने और फ़िशिंग का उपयोग करके अन्य लोगों के टोकन प्राप्त करने के लिए OAuth सत्यापन में त्रुटियों का उपयोग किया। इस तरह की हैक के शिकार ने मुश्किल से चाल का अनुमान लगाया होगा, क्योंकि एक खतरनाक लिंक में एक आधिकारिक URL होगा जैसे: login.live.com।

परिणाम क्या हैं। भेद्यता की खोज करने के बाद, सेफ्टीटेक्टिव ने जून 2018 में Microsoft से संपर्क किया। कंपनी ने जवाब दिया और नवंबर 2018 में स्थिति को ठीक किया। सुरक्षा विशेषज्ञों का मानना ​​है कि भेद्यता ने लगभग 400 मिलियन उपयोगकर्ताओं को प्रभावित किया और Microsoft Outlook से Microsoft स्टोर तक सभी Microsoft खाते खातों तक पहुंच की अनुमति दी।

एगोनि Google+

क्या हुआ? वर्ष के दौरान, Google विशेषज्ञों ने एक मरते हुए सामाजिक नेटवर्क में कुछ कमजोरियों को पाया। उनमें से एक , जिसने उपयोगकर्ता की लॉगिन उम्र, लिंग, ईमेल पता और काम के स्थान का पता लगाने की अनुमति दी थी, 2015 से अस्तित्व में था और लगभग 500 हजार खातों को प्रभावित किया था, दूसरा अपेक्षाकृत हाल ही में नवंबर 2018 में कोड में दिखाई दिया , लेकिन बहुत अधिक गोपनीय डेटा का खुलासा हुआ। 52.5 मिलियन खाते थे।

क्या कारण है एक सुरक्षा ऑडिट से पता चला कि दोनों कमजोरियां Google+ एपीआई में त्रुटियों के कारण थीं जो कि कनेक्टेड एप्लिकेशन के लिए उपयोगकर्ता डेटा तक अनधिकृत पहुंच खोलती थीं।

परिणाम क्या हैं। Google आत्मविश्वास से इस सवाल का जवाब नहीं दे सकता कि क्या पहली भेद्यता का शोषण किया गया था, क्योंकि एपीआई लॉग दो सप्ताह से अधिक नहीं संग्रहीत हैं। दूसरी भेद्यता देखी गई और उपस्थिति के 6 दिन बाद तय की गई, हालांकि, कंपनी ने अभी भी Google+ को बंद करने का निर्णय लिया। एपीआई को 7 मार्च, 2019 को निष्क्रिय कर दिया जाएगा। सोशल नेटवर्क इस साल अप्रैल में पूरी तरह से काम करना बंद कर देगा।

एक रिकॉर्ड DDoS

क्या हुआ? 28 फरवरी, 2018 को, हैकर्स ने गिटहब सर्वर पर 1.35 टीबी / एस रिकॉर्ड हमला किया , लेकिन 5 मार्च 2018 को, विश्लेषकों ने बताया कि रिकॉर्ड टूट गया था। एक नए हमले के दौरान, एक अमेरिकी प्रदाता के नेटवर्क को एक लोड के अधीन किया गया था, जो 1.7 टीबी / एस तक पहुंच गया था।

क्या कारण है इसके लिए दोष 2014 में ज्ञात मेमेकैड कोड में भेद्यता है - सर्वर रैम में डेटा कैशिंग के लिए सॉफ्टवेयर। 2017 के पतन में, कमजोर रिफ्लेक्टर सर्वर के माध्यम से यातायात के गुणन के साथ DRDoS हमलों को लागू करने के लिए भेद्यता का उपयोग करने का एक तरीका पाया गया।

परिणाम क्या हैं। रिकॉर्ड के टूटने की संभावना है, क्योंकि नेटवर्क पर अभी भी बहुत सारे संसाधन हैं जो गलत असुरक्षित मेम्केड सेटिंग्स का उपयोग करते हैं। इस तरह के हमलों से बचाने के लिए, क्लाउडफ्लेयर ने यूडीपी को 11211 पोर्ट के लिए प्रतिबंधित या अवरुद्ध करने की सिफारिश की है ।

सूचना सुरक्षा के क्षेत्र में घटनाओं की संख्या केवल बढ़ रही है। इस संक्षिप्त दौरे में, हमने संभावित खतरों के स्पेक्ट्रम का केवल एक हिस्सा एकत्र किया है, जिनमें से कई का अभी तक पता नहीं चल पाया है। यदि आप अपनी सेवा की रक्षा करना चाहते हैं या एक सफेद टोपी में शर्लक होम्स बनना चाहते हैं, तो साथ में बायर्स डिस्ट्रिक्ट एक्सपर्ट्स बाय बाय ज़ोन अकादमी ऑफ़ साइबरसिटी आपके लिए सघन वेब एप्लीकेशन सुरक्षा और व्यवसाय के लिए साइबर हमलों की जाँच करेगा । पाठ्यक्रम 16-17 फरवरी को डिजिटल अक्टूबर स्थल पर आयोजित किया जाएगा।