सार्वजनिक रूप से खुले MongoDB के कारण Verifications.io सेवा के 809 मिलियन ईमेल पतों की लीक

अनुवादक का ध्यान दें - लेख के अनुवाद का कारण एक हैव आई पीनड नोटिफिकेशन की रसीद थी कि मेरा डेटा इस लीक में था।



पिछले हफ्ते, सुरक्षा शोधकर्ताओं बॉब डियाचेंको और विन्नी ट्रोइया ने एक असुरक्षित मोंगोडीबी डेटाबेस की खोज की , जिसमें स्पष्ट पाठ विपणन जानकारी के 150 गीगाबाइट्स थे, जिसमें 763 मिलियन अद्वितीय ईमेल पते शामिल थे। खोज न केवल विशाल है, बल्कि असामान्य भी है। इसमें अलग-अलग ग्राहकों के डेटा, साथ ही साथ "व्यावसायिक जानकारी", जैसे कर्मचारियों के डेटा और विभिन्न कंपनियों की आय शामिल हैं। इस विविधता को सूचना के स्रोत के लिए जिम्मेदार ठहराया जा सकता है: Verification.io के स्वामित्व वाले डेटाबेस को "ईमेल पते" सत्यापित "" करने के लिए। उसी दिन आधार काट दिया गया जब शोधकर्ता ने कंपनी को इसके बारे में सूचित किया।



यद्यपि आपने शायद उनके बारे में कभी नहीं सुना है, लेकिन ऐसी कंपनियां ई-मार्केटिंग उद्योग में एक महत्वपूर्ण भूमिका निभाती हैं। वे अपनी ओर से विपणन ईमेल नहीं भेजते हैं और स्वचालित मेलिंग का संचालन नहीं करते हैं। इसके बजाय, वे यह सुनिश्चित करने के लिए ग्राहक सूची की जांच करते हैं कि इसमें ईमेल पते वैध हैं और त्रुटि के साथ नहीं लौटे हैं। लेकिन एक पूरी जांच कि ईमेल पता काम कर रहा है, इस पते पर एक संदेश भेजना और यह पुष्टि करना शामिल है कि यह वितरित किया गया था - अनिवार्य रूप से लोगों को स्पैम भेजना। इसका मतलब है कि आईएसपी और जीमेल जैसे प्लेटफार्मों को ब्लॉक करने से बचें। (ईमेल पतों को सत्यापित करने के लिए कम कच्चे रास्ते हैं, लेकिन उनके पास झूठी सकारात्मकता में व्यापार बंद है।) प्रमुख ईमेल प्रदाता अक्सर इस काम को आउटसोर्स करते हैं, बजाय इसके बुनियादी ढांचे को जोखिम में डालने के।

नाइट लायन सिक्योरिटी के संस्थापक ट्रोया कहते हैं, "कंपनियों के पास ईमेल सूचियां हैं और वे उन्हें डाक से भेजना शुरू करना चाहते हैं, लेकिन वे सुनिश्चित नहीं हैं कि वे कितने विश्वसनीय हैं।" "इसलिए वे अनिवार्य रूप से स्पैम भेजने वाली कंपनी में जाते हैं।" ट्रॉया सुझाव देता है कि डेटाबेस इतना बड़ा और विविध हो सकता है क्योंकि इसमें Verification.io क्लाइंट के सभी डेटा शामिल हैं। WIRED कई दिनों तक कंपनी या CEO व्लाद स्ट्रेलकोव से संपर्क नहीं कर सका। सोमवार को, Verification.io वेबसाइट बंद हो गई और तब से बहाल नहीं हुई है। ( इंटरनेट संग्रह में प्रतिलिपि लगभग। अनुवाद। )

कुल मिलाकर, Verification.io डेटाबेस में 809 मिलियन प्रविष्टियों में मानक जानकारी जैसे नाम, ईमेल पते, फ़ोन नंबर और भौतिक पते शामिल हैं। लेकिन कई में लिंग, जन्म तिथि, बंधक ऋण का आकार, ब्याज दर, फेसबुक, लिंक्डइन और इंस्टाग्राम अकाउंट जैसे ईमेल पते से जुड़ी जानकारी, साथ ही लोगों की क्रेडिट रेटिंग (उदाहरण के लिए, औसत, औसत से ऊपर, आदि) की विशेषताएं भी शामिल हैं। .D।)। इस बीच, डेटाबेस में अन्य प्रविष्टियाँ बी 2 बी बिक्री से संबंधित प्रतीत होती हैं, जिसमें कंपनी के नाम, वार्षिक राजस्व के आंकड़े, फैक्स नंबर, कंपनी की वेबसाइट और कंपनी के वर्गीकरण के लिए उद्योग के पहचानकर्ता ("एसआईसी" और "एनएआईसी" कोड) शामिल हैं।



डेटा में सामाजिक सुरक्षा नंबर या क्रेडिट कार्ड नंबर शामिल नहीं हैं, और डेटाबेस में केवल पासवर्ड Verification.io के अपने बुनियादी ढांचे के लिए हैं। सामान्य तौर पर, अधिकांश डेटा सार्वजनिक रूप से विभिन्न स्रोतों से उपलब्ध होते हैं, लेकिन जब अपराधियों को बहुत सारे एकत्रित डेटा अपने हाथों में मिल सकते हैं, तो उनके लिए नई धोखाधड़ी योजनाओं को लॉन्च करना या लक्ष्य डेटाबेस का विस्तार करना बहुत आसान होगा।

एक खुले डेटाबेस में, शोधकर्ताओं ने कुछ Verification.io के आंतरिक उपकरण भी पाए, जैसे कि परीक्षण ईमेल खाते, सैकड़ों SMTP सर्वर (ईमेल भेजना), पाठ ईमेल, एंटी-स्पैम अवसंरचना, बचने के लिए कीवर्ड और काली सूची में डालने के लिए आईपी पते। Diachenko मानता है कि Verification.io क्लाइंट एक Excel स्प्रेडशीट डाउनलोड करते हैं जिसमें सत्यापित करने के लिए ईमेल पते होते हैं, और फिर Verification.io अपने परीक्षण चलाता है और काम के पते की सूची देता है और जो एक त्रुटि के साथ उत्तर देता है। यह संभव है, डेटा के विखंडन और कई अलग-अलग एक्सेल फाइलों से आयात किए गए सबूतों को देखते हुए, कि Verification.io ने ईमेल पतों की जांच के बाद ग्राहकों से प्राप्त कुछ या सभी डेटा को भी बरकरार रखा।

शोधकर्ताओं ने Verification.io ग्राहकों के रूप में सूचीबद्ध कंपनियों के साथ नमूना डेटा की जाँच की। ट्रॉया का कहना है कि इसकी अपनी जानकारी डेटाबेस में दिखाई दी है। WIRED ने एक ईमेल मार्केटिंग कंपनी के मालिक से बात की। उन्होंने आंकड़ों की सटीकता की पुष्टि की। WIRED ने चार लोगों की जाँच भी की, लेकिन उन्हें सूची में नहीं पाया। डियाचेंको और ट्रॉया ने यह भी नोट किया कि उनके पास यह जानने का कोई तरीका नहीं है कि कोई भी सार्वजनिक रूप से उपलब्ध होने पर Verification.io डेटा मिला। ट्रिया कहती हैं, '' मुझे इस बात का कोई अंदाजा नहीं है कि अगर हमारे अलावा किसी और के पास इसकी पहुंच है। "लेकिन यह निश्चित रूप से सभी को डाउनलोड करने के लिए उपलब्ध था।"

सुरक्षा शोधकर्ता ट्रॉय हंट ने अपनी हैवीबिनप्वेड सेवा में वेरिफिकेशन.आईओ डेटा जोड़ा है, जो लोगों को यह जांचने में मदद करता है कि क्या उनके डेटा को लीक से समझौता किया गया है। उन्होंने कहा कि 763 मिलियन ईमेल पतों में से 35% है हिसिबीनप्वेड डेटाबेस के लिए नए हैं। Verification.io डंप भी 773 मिलियन के बाद ईमेल पते की संख्या से हैवीबिनप्वेड में जोड़ा गया दूसरा सबसे बड़ा संग्रह है, जिसे संग्रह # 1 के रूप में जाना जाता है, जो इस वर्ष के शुरू में जोड़े गए थे। हंट का कहना है कि उनकी अपनी कुछ जानकारी Verification.io डेटाबेस में शामिल है।

हंट कहते हैं, "मेरे लिए मुख्य निष्कर्ष यह है कि यह सिर्फ एक और मामला है जहां किसी के पास मेरा डेटा है और सैकड़ों करोड़ों अन्य लोग हैं, और मुझे पूरी तरह से पता नहीं है कि उन्हें यह कैसे मिला।" “मैंने अब तक कभी किसी कंपनी के बारे में नहीं सुना है, और मुझे निश्चित रूप से याद नहीं है कि क्या मेरे डेटा का उपयोग करने के लिए उनकी सहमति है। बेशक, यह बहुत संभव है कि सेवा के कुछ नियम और शर्तें कहती हैं कि वे मेरे डेटा का इस तरह से उपयोग कर सकते हैं जो मेरी अपेक्षाओं पर खरे नहीं हैं कि मेरा डेटा कैसे उपयोग किया जाना चाहिए। ”

प्रस्तुत डेटा का खंडित स्वरूप Verification.io डेटा उद्योग की अराजक स्थिति की बात करता है। निजी सूचनाओं को फेसबुक जैसे विशाल निगमों को हस्तांतरित किया जाता है, जिसे संदिग्ध बाज़ारियों द्वारा खरीदा और बेचा जाता है, या डेटा दिग्गजों से चुराया जाता है और आपराधिक मंचों की शुद्धता में अंतहीन रूप से फैलने के लिए बर्बाद किया जाता है। उपयोगकर्ताओं के लिए यह नियंत्रित करना अधिक कठिन हो जाता है कि उनका डेटा किसके पास है और वे कहां स्थित हैं। जैसा कि हंट कहते हैं: "दुर्भाग्य से, यह इंटरनेट पर सिर्फ एक और दिन है।"

अनुवादक का ध्यान दें - यह हैबर पर मेरा पहला अनुवाद है, मैं व्यक्तिगत संदेशों में त्रुटियों और अशुद्धियों के बारे में सूचित करने के लिए कहता हूं।