За последнюю неделю раскрыта информация о нескольких крупных инцидентах, связанных с утечкой персональных данных:
- Компания Dell опубликовала (https://www.dell.com/learn/us/en/uscorp1/press-releases/2018... сведения о произошедшей 9 ноября атаке на внутреннюю сеть компании, в результате которой злоумышленники получили доступ к инфраструктуре, обеспечивающей работу сайта dell.com. В том числе зафиксирована попытка выгрузки базы пользователей Dell, включающей персональные данные (ФИО, email) и хэши паролей (информация о степени надёжности применяемого метода хэширования не приводится). БД с номерами кредитных карт не пострадала. В качестве ответной меры компанией Dell инициирован процесс смены паролей. Всем пользователям, имеющим учётную запись на dell.com, рекомендуется убедиться, что используемый пароль не применялся для авторизации на других сайтах.
- В сети обнаружен (https://blog.hackenproof.com/industry-news/new-data-breach-e... доступный без авторизации сервер ElasticSearch, предоставляющий сведения о персональных данных около 57 млн жителей США (общий размер БД - 73GB).
Данные включают ФИО, email, домашний адрес, ZIP-код, номер телефона и IP-адрес. Утечка была выявлена в ходе аудита незащищённых серверов, проиндексированных поисковой системой Shodan. Проблемный сервер был впервые проиндексирован 14 ноября. По косвенным данным владельцем сервера является канадская компания Data & Leads Inc, специализирующаяся на обработке больших объёмов данных. Примечательно, что летом из-за ненадлежащей конфигурации ElasticSearch в открытом доступе оказалась (https://www.opennet.ru/opennews/art.shtml?num=48873) БД маркетинговой компании Exactis, включающая сведения практически обо всех взрослых жителях США.
- Из-за технической ошибки произошла (https://www.washingtonpost.com/technology/2018/11/21/amazonc... утечка имён и email-адресов клиентов интернет-магазина Amazon. Детали инцидента и число пострадавших пользователей не сообщается, утверждается только, что из-за ошибки на сайте раскрывались не подлежащие разглашению персональные сведения.
- Выявлена (https://krebsonsecurity.com/2018/11/usps-site-exposed-data-o... возможность получения доступа к персональным данным около 60 млн пользователей USPS (Почтовая служба США). Проблема вызвана некорректной реализацией Web API, который позволял любому зарегистрированному пользователю USPS узнать детальные сведения о других пользователях, включая ФИО, email, адрес и телефон. Так как API USPS поддерживает обработку запросов по маскам, имелась возможность пакетной выгрузки больших объёмов персональных данных.
- Неавторизированный доступ (https://atriumhealth.org/about-us/newsroom/security/special-... к больничной информационной системе Atrium Health (https://en.wikipedia.org/wiki/Atrium_Health) привёл к утечке записей о более чем 2.6 млн пациентах. Утечка содержимого БД произошла в результате взлома инфраструктуры компании AccuDoc Solutions, подключенной к информационной системе Atrium Health.
URL: https://www.dell.com/learn/us/en/uscorp1/press-releases/2018...
Новость: https://www.opennet.ru/opennews/art.shtml?num=49679
