Badacze bezpieczeństwa odkryli w internecie niezabezpieczoną bazę zawierającą około 13,7 mln rekordów pochodzących z wcześniejszych wycieków i ataków. Zgromadzone dane obejmowały m.in. imiona i nazwiska, numery telefonów, adresy e-mail, hasła oraz informacje bankowe. Choć nie wiadomo, jak długo baza była dostępna ani kto zdążył z niej skorzystać, jej zawartość mogła stanowić poważne zagrożenie dla prywatności i bezpieczeństwa użytkowników.
Dane z wielu wcześniejszych wycieków w jednym miejscu
O sprawie poinformował badacz Jeremiah Fowler, który natrafił na archiwum podzielone na zbiory przypisane do konkretnych firm i instytucji. Największa część danych — blisko 8 mln rekordów — miała pochodzić z wycieku dotyczącego AT&T. W bazie znalazły się również informacje powiązane m.in. z Amazonem, Walmartem, PayPalem i BluBank Digital Bank.
Archiwum zawierało także mniejsze zbiory dotyczące FBI i Interpolu. Według Fowlera próbka obejmowała dane osób z różnych krajów. Szczególnie niepokojąca była obecność haseł i informacji bankowych, które mogą ułatwić przejęcie kont, kradzież pieniędzy lub dalsze ataki na poszkodowanych.
Baza powiązana z platformą Vibetech
Fowler ustalił, że adres IP serwera był powiązany z platformą analityczną rozwijaną lub obsługiwaną przez indyjską firmę programistyczną Vibetech. Badacz podejrzewa, że przedsiębiorstwo gromadziło informacje pochodzące z różnych wcześniejszych wycieków, tworząc z nich rozbudowane repozytorium. Nie ma jednak pewności, w jakim celu dane były zbierane.
Problemem okazał się nie tylko sam charakter zgromadzonych informacji, ale też brak zabezpieczeń. Baza była dostępna w sieci bez uwierzytelniania, a więc mogła do niej dotrzeć osoba, która znała jej lokalizację. Po zgłoszeniu sprawy firmie i dostawcy hostingu dostęp do danych został ograniczony. Dzień później pod tym samym adresem wyświetlał się już panel systemu zarządzania bezpieczeństwem informacji zamiast jawnych danych logowania.
Ujawnienie tak dużego zbioru danych pokazuje, jak poważne mogą być skutki niewłaściwego zabezpieczenia informacji. Nawet dane pochodzące z wcześniejszych incydentów mogą ułatwić kolejne ataki. Warto regularnie zmieniać hasła i korzystać z uwierzytelniania dwuskładnikowego.
Przeczytaj także: LastPass potwierdza wyciek danych po ataku na łańcuch dostaw — co o tym wiemy. To kolejny przykład zagrożeń związanych z wyciekami danych.
Repozytoria wykradzionych danych budzą wątpliwości
Zbiory skompromitowanych danych bywają wykorzystywane do analizowania metod działania cyberprzestępców, śledzenia ponownego używania haseł czy rozpoznawania nowych zagrożeń. Gromadzenie i udostępnianie takich informacji wiąże się jednak z poważnymi pytaniami prawnymi i etycznymi — szczególnie gdy w bazach znajdują się dane umożliwiające identyfikację konkretnych osób.
Niezabezpieczone bazy danych są częstą przyczyną ujawnienia informacji. Do incydentów może dochodzić wskutek błędnej konfiguracji usług chmurowych lub przekonania, że za ochronę zasobów odpowiada dostawca infrastruktury. Podobne przypadki obejmowały wcześniej m.in. bazę z danymi milionów mieszkańców Brazylii oraz informacje o nawet 126 mln osób w Stanach Zjednoczonych.
Co mogą zrobić osoby, których dane wyciekły?
Jeśli ktoś podejrzewa, że jego dane mogły znaleźć się w jednym z ujawnionych zbiorów, powinien jak najszybciej zmienić hasła — zwłaszcza do poczty, bankowości i innych ważnych usług. Warto też unikać używania tego samego hasła w wielu serwisach oraz włączyć uwierzytelnianie dwuskładnikowe tam, gdzie jest dostępne.
Należy zachować szczególną ostrożność wobec wiadomości i telefonów, które wyglądają na kontakt z banku, sklepu lub innej znanej instytucji. Dane z wycieków mogą posłużyć do przygotowania wiarygodnych prób wyłudzenia informacji, przejęcia konta lub kradzieży tożsamości.
Zbieranie cudzych wycieków w jednym miejscu i wystawienie tego bez logowania to już nie „analiza”, tylko proszenie się o katastrofę. Hasła z takiej bazy trzeba uznać za skompromitowane.
Warto doprecyzować, że samo powiązanie adresu IP z Vibetech nie dowodzi, że firma zebrała te rekordy ani kto je tam umieścił. Ale niezabezpieczona baza z takimi danymi to i tak poważny incydent.
Czy jest gdzieś wiarygodna informacja, czy dane klientów z Polski też się tam znalazły? I czy samo zmienienie hasła wystarczy, jeśli w bazie były też dane bankowe?
Mam wrażenie, że znowu ciężar spada na użytkownika: zmień hasło, uważaj na telefon. A może firmy, które przechowują takie repozytoria, powinny odpowiadać za podstawowe zabezpieczenia?
2FA pomaga, ale przy przejętej skrzynce mailowej niewiele daje na pozostałych kontach. Zacząłbym od zabezpieczenia poczty, unikalnych haseł z menedżera i sprawdzenia aktywnych sesji w banku oraz sklepach.
„Dostępna dla każdego, kto znał lokalizację” brzmi łagodnie jak na bazę bez uwierzytelniania. Ciekawe, czy przed zgłoszeniem ktoś zdążył zrobić kopię — tego po zamknięciu dostępu już się raczej nie ustali.