Znaleziono otwarty Mystery Server do przechowywania prywatnych danych dla 1,2 miliarda ludzi
28 listopada 2019
Dane osobowe 1,2 miliarda osoób zostały odkryte na otwartym serwerze Elasticsearch. Nie jest jasne, kto był właścicielem serwera, jak dane tam dotarły, kto miał do niego dostęp i jak długo był na otwartej przestrzeni, bezpłatny dla każdego.
Ponad 4 terabajty danych zostały odkryte przez badaczy bezpieczeństwa z Data Viper. W przeciwieństwie do innych trovesów, ta prosta baza danych nie zawierała nazw użytkowników i haseł, ale dane osobowe, takie jak nazwiska, adresy e-mail, numery telefonów, profile LinkedIn i Facebook, zostały usunięte z Internetu.
Tego rodzaju informacje są gromadzone online z kont mediów społecznościowych, które umożliwiają publiczny dostęp i wydaje się, że nie brakuje osób, które nie wiedzą, że cały świat ma dostęp do ich danych, co w większości przypadków obejmuje rzeczy, których nie można świadomie udostępniać nieznajomym.
„Za bardzo niską cenę firmy zajmujące się wzbogacaniem danych pozwalają pobrać jedną informację o osobie (na przykład imię i nazwisko lub adres e-mail) oraz rozszerzyć (lub wzbogacić) ten profil użytkownika, aby uwzględnić setki dodatkowych punktów danych informacji”, mówi badaczka bezpieczeństwa Vinny Troia. „Zebrane informacje o jednej osobie mogą obejmować takie informacje, jak wielkość gospodarstwa domowego, finanse i dochody, preferencje polityczne i religijne, a nawet preferowane działania społeczne danej osoby”.
Okazało się, że niewiele firm zapewnia „wzbogacanie” danych jako usługę, a większość danych znalezionych na serwerze Elasticsearch została zidentyfikowana jako należąca do People Data Labs (PDL). Interesującym punktem jest to, że dane PDL zawierają historie edukacyjne, których serwer tajemnic nie wymienia.
Ponieważ PDL zaprzecza jakoby był odpowiedzialny za naruszenia, znalezienie kogoś odpowiedzialnego jest trudne. Otwarty serwer Elasticsearch wydaje się nie mieć żadnego łącza do PDL, a Google Cloud hostował te informacje. Oznacza to również, że nie można sprawdzić, bez nakazu sądowego, kto go ustanowił. FBI i inne agencje prawne nie będą zaangażowane, chyba że popełniono przestępstwo, a technicznie tak nie jest, przynajmniej jeszcze nie.
Autor
Obecnie
Najnowsze wpisy
