Pada bagian pertama dari tinjauan kebocoran 2018, saya memeriksa kebocoran data yang paling signifikan untuk paruh pertama tahun ini dan sekarang saatnya untuk bagian kedua.
Seperti disebutkan sebelumnya, hanya kasus besar kebocoran informasi di seluruh dunia yang dimasukkan dalam ulasan, dan bulan kejadian diindikasikan bukan pada saat kejadiannya, tetapi pada saat pengungkapan (pengumuman publik).
Mari kita lihat bagaimana paruh kedua tahun ini berlalu ...
Juli
Perhubungan mode
Data pribadi bocor 1,3 juta pembeli toko mode online Inggris (merek-merek seperti Jaded London, AX Paris, Pakaian Elle Belle, Tas Sempurna, Pelacur Gaya Kotor Kecil dan Lalu Lintas Orang), dilayani oleh Fashion Nexus dan anak perusahaannya White Room Solutions .
Nama, tanggal lahir, nomor telepon, alamat email, hash kata sandi MD5 dan SHA-1 terpengaruh.
Macy
Macy's, pengecer A.S., telah memperingatkan pelanggan yang memiliki akun di situs pengecer bahwa orang tak dikenal memiliki akses ke akun ini.
Setelah memasuki akun, penyerang menerima data klien seperti nama lengkap, alamat, nomor telepon, alamat email, tanggal lahir, nomor kartu pembayaran, dan tanggal kedaluwarsa.
Robotika dan Kontrol Level Satu
Konfigurasi yang salah dari program rsync, yang dirancang untuk backup jarak jauh dan sinkronisasi file, menyebabkan kebocoran informasi rahasia sebesar 157 gigabytes dari para pembuat mobil seperti Toyota, Tesla, GM, Ford, VW dan banyak lainnya.
Data dibiarkan tersedia untuk umum oleh perusahaan pembuat robot Kanada Level One Robotics and Controls.
Diagram alur jalur perakitan, rencana dan tata letak bengkel, konfigurasi robot, formulir permintaan akses untuk personel, perjanjian non-pengungkapan, data pribadi dan dokumen (SIM, paspor) dari beberapa karyawan Robotika dan Kontrol Tingkat Satu, faktur, kontrak, dan informasi perbankan.
Singhealth
Di Singapura, peretas meretas basis data pasien yang mengunjungi jaringan klinik SingHealth mulai 1 Mei 2015 hingga 4 Juli 2018.
Nama, alamat, jenis kelamin, ras, tanggal lahir yang dicuri lebih dari 1,5 juta orang.
Selain itu, 160 ribu data resep obat dicuri.
Telefonica
Penyerang mengambil keuntungan dari kerentanan jaringan komputer dari operator terbesar Spanyol Telefonica dan berhasil mendapatkan semua data pribadi jutaan pelanggan. Telefonica adalah salah satu dari 10 perusahaan telekomunikasi terbesar di dunia.
Data yang bocor termasuk nama, informasi kontak, nomor kontak, data pembayaran, dan segala sesuatu yang berisi tagihan standar untuk layanan komunikasi.
Data pelanggan Telefonica mudah diunduh sebagai spreadsheet tidak terenkripsi (CSV).
Timehop
Layanan Timehop, yang mengumpulkan "kenangan" dari jejaring sosial, mengungkapkan kebocoran data dari 21 juta pengguna.
Nama pengguna, alamat email dan token otorisasi bocor di jejaring sosial.
Sejumlah kecil entri termasuk nama, nomor telepon dan alamat email, dan jumlah yang sedikit lebih besar termasuk nama dan nomor telepon, dan jumlah yang lebih besar lagi termasuk nama dan alamat email.
Kebocoran ini dimungkinkan dengan mengkompromikan akun administrator untuk mengakses lingkungan komputasi awan.
Agustus
Grup Hotel Huazhu
Kebocoran data dari hotel-hotel Cina telah mempengaruhi sekitar 130 juta orang.
13 hotel yang dimiliki oleh perusahaan manajemen Huazhu Hotels Group dipengaruhi oleh kebocoran data pribadi pelanggan.
Abbyy
File database MongoDB 192 gigabyte milik salah satu klien ABBYY dan berisi lebih dari 200 ribu dokumen yang dipindai tersedia secara bebas.
Basis data berisi kontrak, perjanjian untuk tidak mengungkapkan informasi rahasia, surat, dokumen internal, dan dokumen lain yang diakui menggunakan OCR ABBYY.
Kepercayaan data
Data dari 14,8 juta pemilih Texas tersedia untuk umum. Secara total, 19,3 juta pemilih terdaftar di Texas. File database sekitar 16 GB hanya dibiarkan di server terbuka.
Basis data pada awalnya disusun oleh Data Trust, sebuah perusahaan analitik yang melayani Partai Republik.
T-mobile
Data pribadi bocor (nama, alamat email, alamat pos, dll.) Dari 2 juta akun operator seluler Amerika T-Mobile.
Kebocoran data disebabkan oleh kesalahan dalam kode interaksi antara toko online Apple dan server T-Mobile yang bertanggung jawab untuk memeriksa akun pengguna. Fungsi verifikasi memungkinkan jumlah cek yang tidak terbatas yang dimasukkan oleh pengguna data, yang memungkinkan penyerang untuk menghitung kode PIN dan 4 digit terakhir dari nomor jaminan sosial.
September
Facebook
Facebook secara resmi mengkonfirmasi kebocoran data 50 juta akun, sementara hingga 90 juta akun berpotensi terpengaruh.
Peretas dapat mengakses profil pemilik akun ini berkat setidaknya tiga kerentanan dalam kode Facebook.
Selain Facebook sendiri, layanan-layanan yang menggunakan akun jejaring sosial ini untuk otentikasi (Single Sign-On) juga menderita.
Kelompok Alibaba
Lebih dari 10 juta catatan yang berisi nama pengguna, nomor telepon, dan nomor surat dicuri dari Cainiao Network, anggota holding Grup Alibaba.
Ditemukan bahwa penyerang menginstal malware yang mencuri data pribadi ke pemindai barcode. Kemudian data yang dicuri dijual kembali di pasar gelap.
Perangkat Lunak Veeam
Dalam akses terbuka di cloud Amazon, database MongoDB milik Veeam ditemukan.
Basis data 200 GB berisi 445 juta catatan yang berisi nama, alamat email, dan dalam beberapa kasus alamat IP. Data dikumpulkan untuk periode 2013 hingga 2017.
Oktober
Google
Kesalahan dalam API jejaring sosial Google+ memungkinkan pengembang mengakses data sebanyak 500 ribu pengguna seperti: login, alamat email, tempat kerja, tanggal lahir, foto profil, dll.
Google mengklaim bahwa tidak ada dari 438 pengembang yang memiliki akses ke API mengetahui tentang kesalahan ini dan tidak dapat menggunakannya.
Sberbank
Arsip terbuka di Internet ternyata berupa file dengan file Sberbank yang berisi dokumen resmi tentang integrasi pengembangan perangkat lunak dan proses operasi, khususnya, data pemeriksaan kesehatan sistem bank.
Selain itu, file CSV dengan unggahan Direktori Aktif, yang berisi nama dan alamat email sekitar 420 ribu karyawan Sberbank, menjadi tersedia untuk umum.
Sberbank sendiri tidak menganggap insiden ini sebagai kebocoran. Namun, bank memberi tahu Komisi Eropa tentang insiden tersebut, karena di antara informasi yang dikompromikan adalah data warga Uni Eropa.
November
Quora
Layanan berbagi pengetahuan sosial Quora melaporkan kebocoran data dari 100 juta akun pengguna.
Penetrasi eksternal ke dalam sistem layanan ditemukan, sebagai akibatnya menderita: nama, alamat email, kata sandi hash, data dari jaringan yang terhubung (Facebook, Google); konten publik, termasuk pertanyaan, jawaban, komentar, suara positif; konten non-publik, termasuk permintaan jawaban, korespondensi antara pengguna, suara negatif.
Marriott
Marriott International mengatakan bahwa peretas telah mendapatkan akses ke database divisi Marriott - Starwood Hotels, yang berisi data pribadi pelanggan dari 2014 hingga hari ini.
Secara total, data bocor ke 500 juta tamu menggunakan layanan Starwood Hotel, dengan 327 juta entri yang bocor yang berisi nomor paspor, alamat email, alamat pos, dan dalam beberapa kasus bahkan detail kartu bank.
American express india
Sistem pembayaran American Express membocorkan data pribadi 2,3 juta pelanggan India melalui database MongoDB, yang tersedia secara gratis.
Basis data berisi pengidentifikasi Aadhaar (pengidentifikasi unik warga negara India), nama, alamat email, alamat, nama kerabat, nomor akun.
Desember
Teknologi Nixi
Perusahaan China, Nixi Technology, yang memproduksi aplikasi seluler Boomoji untuk membuat avatar 3D animasi, telah membuka dua database Elasticsearch dengan data pribadi 5,3 juta pengguna iOS dan versi Android dari Boomoji di seluruh dunia.
Selain data (nama pengguna, usia, jenis kelamin, negara, model telepon, dan bahkan nama lembaga pendidikan) langsung ke pengguna aplikasi, basis data berisi 125 juta kontak buku alamat mereka (salinan dari ponsel), serta sejarah lokasi untuk 375 ribu. pengguna.
Kementerian Luar Negeri Perancis
Pada 5 Desember, orang tak dikenal memperoleh akses ke database dengan kontak (nama, alamat email dan nomor telepon) jika terjadi keadaan darurat, dari semua (540.000) warga negara yang terdaftar dalam sistem Ariane.
Ariane adalah layanan online yang dibuat pada 2010, yang memungkinkan warga Prancis yang bepergian ke negara-negara "tidak aman" untuk memberi tahu MFA negara ini.
Data & Petunjuk
Kebocoran lain dari data pribadi pemilih AS. Basis data terbuka Elasticsearch berisi hampir 60 juta catatan yang berisi nama depan, nama belakang, alamat email, alamat rumah, nomor telepon, dan alamat IP. Jumlah total data melebihi 73 GB.
Pemilik basis data kemungkinan besar adalah Data & Leads perusahaan Kanada, yang mengumpulkan dan memproses data.
Sky brasil
Nama, alamat, kata sandi, telepon, dan data pribadi lainnya dari 32 juta pelanggan TV Berbayar Brasil dan operator Internet seluler Sky Brasil ditemukan dalam database Elasticsearch yang dapat diakses secara bebas.
Bekukan toko pro
Toko peralatan ski online Skotlandia, Freeze Pro Shop telah membocorkan 4 juta catatan dengan data pribadi (nama, alamat email, alamat pos, nomor telepon, dan detail pesanan) pelanggannya, sehingga database Elasticsearch tersedia untuk umum.
Google
Kerentanan Google+ lainnya yang membocorkan data ke 52,5 juta pengguna.
Kerentanan memungkinkan aplikasi menerima informasi dari profil pengguna (nama, alamat email, jenis kelamin, tanggal lahir, usia, dll.), Bahkan jika data ini bersifat pribadi. Selain itu, melalui profil satu pengguna dimungkinkan untuk menerima data dari pengguna lain.
Berita rutin tentang kasus individual kebocoran data dengan cepat dipublikasikan di saluran Informasi kebocoran .