टू इन वन: पर्यटक डेटा और सांस्कृतिक कार्यक्रमों के लिए टिकट सार्वजनिक रूप से उपलब्ध थे

आज, हम एक ही बार में दो मामलों पर नज़र डालेंगे - दो पूरी तरह से अलग-अलग कंपनियों के ग्राहकों और भागीदारों का डेटा इन कंपनियों के सूचना प्रणालियों (आईएस) के लॉग के साथ एलिटिक्स खोज सर्वरों के लिए "धन्यवाद" के लिए स्वतंत्र पहुंच में बदल गया।

पहले मामले में, ये रेडारियो प्रणाली ( www.radario.ru ) के माध्यम से बेचे जाने वाले विभिन्न सांस्कृतिक कार्यक्रमों (थिएटर, क्लब, रिवर वॉक आदि) के लिए हजारों (या शायद सैकड़ों हजारों) टिकट हैं।

दूसरे मामले में, यह हजारों यात्रियों (शायद कई दसियों हजार) की पर्यटन यात्राओं पर डेटा है, जिन्होंने Sletat.ru प्रणाली ( www.sletat.ru ) से जुड़ी ट्रैवल एजेंसियों के माध्यम से पर्यटन खरीदा है।

मैं तुरंत ध्यान देता हूं कि न केवल उन कंपनियों के नाम, जिन्होंने डेटा को सार्वजनिक रूप से उपलब्ध होने की अनुमति दी थी, बल्कि इन कंपनियों के दृष्टिकोण को इस घटना की मान्यता और इसके बाद की प्रतिक्रिया के बारे में भी बताया। लेकिन पहले बातें पहले ...

: . . , .

केस वन। "रडार"

05/06/2019 की शाम को, हमारे सिस्टम को फ्री एक्सेस में इलेक्ट्रॉनिक टिकट बिक्री सेवा रेडारियो के स्वामित्व वाली एलिटिक्स खोज सर्वर मिला ।

पहले से ही स्थापित उदास परंपरा के अनुसार, सर्वर में सेवा की सूचना प्रणाली के विस्तृत लॉग होते थे, जिससे व्यक्तिगत डेटा, उपयोगकर्ता लॉगिन और पासवर्ड प्राप्त करना संभव था, साथ ही पूरे देश में विभिन्न घटनाओं के लिए सीधे इलेक्ट्रॉनिक टिकट।

लॉग की कुल मात्रा 1 Tb से अधिक हो गई।

खोज इंजन Shodan के अनुसार, सर्वर 03/11/2019 से सार्वजनिक डोमेन में है। मैंने दिनांक 05/06/2019 को 22:50 (मास्को समय) पर रेडारियो कर्मचारियों को सूचित किया और 05/07/2019 को लगभग 09:30 बजे सर्वर अनुपलब्ध हो गया।

लॉग में एक सार्वभौमिक (एकल) प्राधिकरण टोकन था, जो फॉर्म के विशेष लिंक के माध्यम से सभी खरीदे गए टिकट तक पहुंच प्रदान करता है:

 http://radario.ru/internal/tickets/XXXXXXXX/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk http://radario.ru/internal/orders/YYYYYYY/print?access_token=******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk 

यह समस्या इस तथ्य में भी शामिल है कि टिकट की गिनती का उपयोग ऑर्डर की संख्या के माध्यम से किया गया था और बस टिकट संख्या ( XXXXXXXX ) या ऑर्डर ( YYYYYYY ) के माध्यम से छांटकर , सिस्टम से सभी टिकट प्राप्त करना संभव था।

डेटाबेस की प्रासंगिकता की जांच करने के लिए, मैंने भी ईमानदारी से खुद को सबसे सस्ता टिकट खरीदा:

और बाद में आईपी लॉग में एक सार्वजनिक सर्वर पर इसकी खोज की:

 http://radario.ru/internal/tickets/11819272/print?access_token==******JuYWw6MDIzOWRjOTM1NzJiNDZjMTlhZGFjZmRhZTQ3ZDgyYTk 

मैं यह भी जोर देना चाहूंगा कि टिकट पिछली घटनाओं के लिए उपलब्ध थे और उन लोगों के लिए जो अभी भी योजना बना रहे हैं। यही है, एक संभावित हमलावर योजनाबद्ध घटना के लिए किसी और के टिकट का उपयोग कर सकता है।

औसतन, प्रत्येक इलास्टिक्स खोज सूचकांक में एक विशिष्ट दिन के लिए लॉग होते हैं (24 जनवरी, 2019 से 7 मई, 2019 तक), 25 से 35 हजार टिकट थे।

स्वयं टिकटों के अलावा, इस सेवा के माध्यम से टिकटों की बिक्री करने वाले रेडारियो भागीदारों के व्यक्तिगत खातों तक पहुंच के लिए सूचकांक में लॉगिन (ईमेल पते) और पाठ पासवर्ड भी शामिल हैं:

 Content: \"ReturnUrl=&UserEmail=***@yandex.ru&UserPassword=***\" 

कुल में, 500 से अधिक लॉगिन / पासवर्ड जोड़े पाए गए। भागीदारों के व्यक्तिगत खातों में आप टिकट बिक्री के आँकड़े देख सकते हैं:

इसके अलावा, सार्वजनिक डोमेन में खरीदारों के पूर्ण नाम, फोन नंबर और ई-मेल पते थे जिन्होंने पहले खरीदे गए टिकटों की वापसी करने का फैसला किया:

 "Content": "{\"name\":\"***\",\"surname\":\"*** \",\"middleName\":\" \",\"passportType\":1,\"passportNumber\":\"\",\"passportIssueDate\":\"11-11-2011 11:11:11\",\"passportIssuedBy\":\"\",\"email\":\"***@mail.ru\",\"phone\":\"+799*******\",\"ticketNumbers\":[\"****24848\",\"****948732\"],\"refundReason\":4,\"comment\":\"\"}" 

एक यादृच्छिक रूप से चयनित दिन में, 500 से अधिक ऐसे रिकॉर्ड खोजे गए थे।

मुझे रेडारियो के तकनीकी निदेशक से अलर्ट का जवाब मिला:

मैं सीटीओ रेडारियो हूं, और इस समस्या के समाधान के लिए धन्यवाद देना चाहता हूं। लोचदार तक पहुंच, जैसा कि आप जानते हैं, हम बंद कर चुके हैं और ग्राहकों के लिए टिकट जारी करने के मुद्दे को हल कर रहे हैं।

थोड़ी देर बाद, कंपनी ने एक आधिकारिक बयान दिया:

रेडारियो इलेक्ट्रॉनिक टिकटिंग सिस्टम में एक भेद्यता की खोज की गई, जिसने समयबद्ध तरीके से ग्राहक सेवा डेटा के रिसाव को प्रेरित किया, कंपनी के विपणन निदेशक, किरिल मालिशेव ने मास्को समाचार एजेंसी को बताया।

“हमने वास्तव में नियमित अपडेट से जुड़े सिस्टम के संचालन में एक भेद्यता की खोज की, जो पता लगाने के तुरंत बाद तय की गई थी। भेद्यता के परिणामस्वरूप, कुछ शर्तों के तहत, तृतीय पक्षों की अमित्र कार्रवाई से डेटा रिसाव हो सकता है, लेकिन कोई घटना दर्ज नहीं की गई। फिलहाल, सभी खराबी को खत्म कर दिया गया है।

कंपनी के प्रतिनिधि ने जोर दिया कि सेवा के ग्राहकों के संबंध में किसी भी धोखाधड़ी की संभावना को पूरी तरह से समाप्त करने के लिए समस्या के समाधान के दौरान बेचे गए सभी टिकटों को फिर से जारी करने का निर्णय लिया गया था।

कुछ दिनों बाद मैंने लीक किए गए लिंक पर डेटा की उपलब्धता की जांच की - "हाइलाइट किए गए" टिकटों तक पहुंच वास्तव में कवर की गई थी। मेरी राय में, यह डेटा लीक की समस्या को हल करने के लिए एक सक्षम, पेशेवर दृष्टिकोण है।

केस दो। "Sletat.ru"

05/15/2019 की सुबह में डिवाइसलॉक डेटा ब्रीच इंटेलिजेंस ने एक निश्चित आईपी के लॉग के साथ एक सार्वजनिक इलास्टिक्स खोज सर्वर का खुलासा किया।

बाद में यह स्थापित किया गया था कि सर्वर "फ्लाई.ru" का चयन करने के लिए सेवा से संबंधित है।

Cbto__0 इंडेक्स से , ईमेल पतों के हजारों (11.7 हजार डुप्लिकेट सहित) प्राप्त करना संभव था, साथ ही कुछ भुगतान जानकारी (पर्यटन की लागत) और यात्रा की जानकारी (जब, जहां, यात्रा में शामिल सभी यात्रियों के लिए विमान किराया, आदि) ) लगभग 1.8 हजार रिकॉर्ड की राशि में:

 "full_message": "     : {\"SuccessReturnUrl\":\"https://sletat.ru/tour/7-1939548394-65996246/buy/?ClaimId=b5e3bf98-2855-400d-a93a-17c54a970155\",\"ErrorReturnUrl\":\"https://sletat.ru/\",\"PaymentAgentId\":15,\"DocumentNumber\":96629429,\"DocumentDisplayNumber\":\"4451-17993\",\"Amount\":36307.0,\"PaymentToolType\":3,\"ExpiryDateUtc\":\"2020-04-03T00:33:55.217358+03:00\",\"LifecycleType\":2,\"CustomerEmail\":\"XXX@mail.ru\",\"Description\":\"\",\"SettingsId\":\"8759d0dd-da54-45dd-9661-4e852b0a1d89\",\"AdditionalInfo\":\"{\\\"TourOfficeAdditionalInfo\\\":{\\\"IsAdditionalPayment\\\":false},\\\"BarrelAdditionalInfo\\\":{\\\"Tickets\\\":[{\\\"Passenger\\\":{\\\"FIO\\\":\\\"XXX VIKTORIIA\\\"},\\\"ReservationSystem\\\":null,\\\"TicketNumber\\\":null,\\\"IsRefundPossible\\\":false},{\\\"Passenger\\\":{\\\"FIO\\\":\\\"XXX ANDREI\\\"},\\\"ReservationSystem\\\":null,\\\"TicketNumber\\\":null,\\\"IsRefundPossible\\\":false},{\\\"Passenger\\\":{\\\"FIO\\\":\\\"XXX Andrei\\\"},\\\"ReservationSystem\\\":null,\\\"TicketNumber\\\":null,\\\"IsRefundPossible\\\":false}],\\\"Segments\\\":[{\\\"Flight\\\":\\\"5659\\\",\\\"AviaCompany\\\":null,\\\"AviaCompanyIataCode\\\":null,\\\"DepartureCity\\\":\\\"LED\\\",\\\"DepartureAirport\\\":\\\"LED\\\",\\\"DepartureAirportIataCode\\\":\\\"LED\\\",\\\"DepartureDate\\\":\\\"2019-04-11T02:45:00\\\",\\\"DepartureTime\\\":null,\\\"ArrivalCity\\\":\\\"SHJ\\\",\\\"ArrivalAirport\\\":\\\"SHJ\\\",\\\"ArrivalAirportIataCode\\\":\\\"SHJ\\\",\\\"ArrivalDate\\\":\\\"2019-04-11T09:40:00\\\",\\\"ArrivalTime\\\":null,\\\"FareCode\\\":null},{\\\"Flight\\\":\\\"5660\\\",\\\"AviaCompany\\\":null,\\\"AviaCompanyIataCode\\\":null,\\\"DepartureCity\\\":\\\"SHJ\\\",\\\"DepartureAirport\\\":\\\"SHJ\\\",\\\"DepartureAirportIataCode\\\":\\\"SHJ\\\",\\\"DepartureDate\\\":\\\"2019-04-14T10:45:00\\\",\\\"DepartureTime\\\":null,\\\"ArrivalCity\\\":\\\"LED\\\",\\\"ArrivalAirport\\\":\\\"LED\\\",\\\"ArrivalAirportIataCode\\\":\\\"LED\\\",\\\"ArrivalDate\\\":\\\"2019-04-14T15:50:00\\\",\\\"ArrivalTime\\\":null,\\\"FareCode\\\":null}]},\\\"Tickets\\\":[{\\\"Passenger\\\":{\\\"FIO\\\":\\\"XXX VIKTORIIA\\\"},\\\"ReservationSystem\\\":null,\\\"TicketNumber\\\":null,\\\"IsRefundPossible\\\":false},{\\\"Passenger\\\":{\\\"FIO\\\":\\\"XXX ANDREI\\\"},\\\"ReservationSystem\\\":null,\\\"TicketNumber\\\":null,\\\"IsRefundPossible\\\":false},{\\\"Passenger\\\":{\\\"FIO\\\":\\\"XXX Andrei\\\"},\\\"ReservationSystem\\\":null,\\\"TicketNumber\\\":null,\\\"IsRefundPossible\\\":false}],\\\"Segments\\\":[{\\\"Flight\\\":\\\"5659\\\",\\\"AviaCompany\\\":null,\\\"AviaCompanyIataCode\\\":null,\\\"DepartureCity\\\":\\\"LED\\\",\\\"DepartureAirport\\\":\\\"LED\\\",\\\"DepartureAirportIataCode\\\":\\\"LED\\\",\\\"DepartureDate\\\":\\\"2019-04-11T02:45:00\\\",\\\"DepartureTime\\\":null,\\\"ArrivalCity\\\":\\\"SHJ\\\",\\\"ArrivalAirport\\\":\\\"SHJ\\\",\\\"ArrivalAirportIataCode\\\":\\\"SHJ\\\",\\\"ArrivalDate\\\":\\\"2019-04-11T09:40:00\\\",\\\"ArrivalTime\\\":null,\\\"FareCode\\\":null},{\\\"Flight\\\":\\\"5660\\\",\\\"AviaCompany\\\":null,\\\"AviaCompanyIataCode\\\":null,\\\"DepartureCity\\\":\\\"SHJ\\\",\\\"DepartureAirport\\\":\\\"SHJ\\\",\\\"DepartureAirportIataCode\\\":\\\"SHJ\\\",\\\"DepartureDate\\\":\\\"2019-04-14T10:45:00\\\",\\\"DepartureTime\\\":null,\\\"ArrivalCity\\\":\\\"LED\\\",\\\"ArrivalAirport\\\":\\\"LED\\\",\\\"ArrivalAirportIataCode\\\":\\\"LED\\\",\\\"ArrivalDate\\\":\\\"2019-04-14T15:50:00\\\",\\\"ArrivalTime\\\":null,\\\"FareCode\\\":null}]}\",\"FinancialSystemId\":9,\"Key\":\"18fe21d1-8c9c-43f3-b11d-6bf884ba6ee0\"}" 

वैसे, पेड टूर के लिंक काफी काम कर रहे हैं:

सादे पाठ में gylog_ नाम के साथ अनुक्रमणिका में Sletat.ru प्रणाली से जुड़े ट्रैवल एजेंसियों के लॉगिन और पासवर्ड थे और अपने ग्राहकों को पर्यटन बेच रहे थे:

 "full_message": "Tours by request 155213901 added to local cache with key 'user_cache_155213901' at 5/6/2019 4:49:07 PM, rows found 0, sortedPriceLength 215. QueryString: countryId=90&cityFromId=1265&s_nightsMin=6&s_nightsMax=14&stars=403%2c404&minHotelRating=1&currencyAlias=RUB&pageSize=300&pageNumber=1&s_showcase=true&includeOilTaxesAndVisa=0&login=zakaz%40XXX.ru&password=XXX, Referer: , UserAgent: , IP: 94.154.XX.XX." 

मेरे अनुमान के अनुसार, कई सौ लॉगिन / पासवर्ड जोड़े जलाए गए थे।

ट्रैवल एजेंसी के व्यक्तिगत खाते से Agent.sletat.ru पोर्टल पर ग्राहक का डेटा प्राप्त करना संभव था, जिसमें पासपोर्ट नंबर, पासपोर्ट, जन्मतिथि, नाम, फोन और ईमेल पता शामिल थे।

मैंने 05/15/2019 को 10:46 (मॉस्को समय) पर Sletat.ru सेवा को अधिसूचित किया और कुछ घंटों के बाद (16:00 तक) एलिटेसर्च सर्वर मुफ्त एक्सेस से गायब हो गया। बाद में, कोमर्सेंट में एक प्रकाशन के जवाब में, सेवा के प्रबंधन ने मीडिया के माध्यम से एक बहुत ही अजीब बयान दिया:

कंपनी के प्रमुख, आंद्रेई वर्शिनिन ने बताया कि Sletat.ru सर्च इंजन में प्रश्नों के इतिहास तक पहुंच के साथ सबसे बड़े साझेदार टूर ऑपरेटर प्रदान करता है। और उन्होंने सुझाव दिया कि डिवाइसलॉक ने इसे प्राप्त किया: "हालांकि, निर्दिष्ट डेटाबेस में पर्यटकों के पासपोर्ट डेटा, लॉगिन एजेंसियों और ट्रैवल एजेंसियों के पासवर्ड, भुगतान डेटा आदि नहीं हैं।" आंद्रेई वर्शिनिन ने कहा कि "Sletat.ru" को अभी तक इस तरह के गंभीर आरोपों का कोई सबूत नहीं मिला है। “अब हम DeviceLock से संपर्क करने की कोशिश कर रहे हैं। हमारा मानना ​​है कि यह एक आदेश है। उन्होंने कहा कि कुछ लोग हमारी तीव्र वृद्धि को पसंद नहीं करते हैं। "

जैसा कि ऊपर दिखाया गया है, पर्यटकों के दोनों लॉगिन, पासवर्ड और पासपोर्ट डेटा सार्वजनिक डोमेन में काफी लंबे समय से हैं (कम से कम 03/29/2019 से, जब कंपनी का सर्वर पहली बार सार्वजनिक रूप से शोडान खोज इंजन द्वारा उपलब्ध कराया गया था)। बेशक, किसी ने हमसे संपर्क नहीं किया। मुझे उम्मीद है कि कम से कम ट्रैवल एजेंसियों ने उन्हें लीक के बारे में सूचित किया और उन्हें पासवर्ड बदलने के लिए मजबूर किया।

सूचना लीक और अंदरूनी सूत्रों के बारे में समाचार हमेशा मेरे टेलीग्राम चैनल " सूचना लीक " पर पाया जा सकता है।