Išsami informacija apie kreditinę kortelę, įskaitant asmeninę informaciją, IP adresus ir kitą bendravimą, aptiktą lauko darbų programinei įrangai

Žinios
Saugumas / Išsami informacija apie kreditinę kortelę, įskaitant asmeninę informaciją, IP adresus ir kitą bendravimą, aptiktą lauko darbų programinei įrangai 4 minutes perskaityta

Lauko darbų programinė įranga



Buvo nustatyta, kad slapta šimtų kreditinių kortelių vartotojų privati ​​ir finansinė informacija buvo saugoma duomenų bazėje, kuri gulėjo neužtikrinta. Mokslininkai, vykdydami paprastą nuskaitymo programą, internete aptiko duomenų bazę, priklausančią „Fieldwork Software“. Šokiruojantis, kad duomenyse buvo išsami finansinė informacija, priklausanti verslo klientams. Be informacijos apie kreditinę kortelę, gali būti prieinama ir naudojama kita labai jautri informacija, pvz., Susiję vardai, GPS žymos ir netgi bendravimas tarp kliento ir paslaugų teikėjo. Nerimą keliantis aspektas yra tas, kad nuskaitymo projektus, kurie atskleidė nesandarią duomenų bazę, yra gana lengva įdiegti ir profesionalūs įsilaužimų grupės vis dažniau naudojasi finansinės informacijos ar kenkėjiškų programų kūrimui.

Mokslininkai, dirbantys „vpnMentor“ kibernetinio saugumo srityje, atskleidę iš pažiūros atvirą „Fieldwork Software“ duomenų bazę atradimai per tinklaraščio įrašą . Komanda, kurią sudarė Noam Rotem ir Ran Locar, nurodė, kad liko apie 26 GB duomenų. Akivaizdu, kad duomenų bazė nebuvo sąmoningai palikta neapsaugota. Tačiau šis atradimas atskleidžia finansinės informacijos, kuri lieka panaudojama, pavojus bet kuriai programuotojų grupei, žinančiai, kur ieškoti, arba inicijuoti atsitiktinę ieškotojų ieškotojų ar duomenų bazių, kurios nebuvo tinkamai apsaugotos. Įdomu tai, kad duomenų dydis gali būti nedidelis, tačiau informacijos pobūdį galima išnaudoti norint pradėti kelis didžiulius skaitmeninius finansinius sąrašus.



„Anstar“ priklausanti „Fieldwork“ programinė įranga turėjo nesandarią duomenų bazę, kuri buvo apsaugota prastais saugos protokolais

Internetinio nuskaitymo projekto metu „vpnMentor“ kibernetinio saugumo tyrėjai atrado veikiamą ir iš esmės apsaugotą prastais saugumo protokolais. Vykdomas bendrovės projektas iš esmės uostosi internete, ieškodamas uostų. Šie prievadai iš esmės yra vartai į duomenų bazes, kurios paprastai saugomos serveriuose. Projektas yra dalis iniciatyvos medžioti ir atrasti netyčia ar netyčia palikta atvira arba neužtikrinta . Tokius prievadus galima lengvai panaudoti norint iškarpyti ar surinkti duomenis.

Keletą kartų tokie uostai tapo netyčinio viešo neskelbtinų verslo duomenų atskleidimo šaltiniu. Be to, keletas iniciatyvių hakerių grupių dažnai atsargiai atsijoja duomenis ir ieško daugiau galimi maršrutai, kuriuos galima išnaudoti . El. Pašto ID, telefono numeriai ir kita asmeninė informacija dažnai naudojama norint pradėti atakas, kurios remiasi socialine inžinerija. Anksčiau tikriausiai patvirtinti el. Laiškai ir telefono skambučiai buvo naudojami priversti aukas atidaryti el. laiškus ir kenkėjiškus priedus .

„Fieldwork“ programinė įranga iš esmės yra platforma, skirta mažam ir vidutiniam verslui (SMB). Tolesnė „Anstar“ valdomos bendrovės tikslinė rinka yra smulkiojo ir vidutinio verslo įmonės, teikiančios paslaugas nuo klientų. Namų paslaugas teikiantiems MVĮ reikia daug informacijos ir sekimo įrankių, kad būtų užtikrintas optimalus klientų aptarnavimo ir santykių su klientais valdymas. Lauko darbų platforma daugiausia grindžiama debesimis. Sprendimas siūlo įmonėms sekti savo darbuotojus, kurie skambina namo. Tai padeda nustatyti ir tvarkyti CRM įrašus. Be to, platforma siūlo dar keletą klientų aptarnavimo funkcijų, įskaitant planavimo, sąskaitų faktūrų išrašymo ir mokėjimo sistemas.

Atskleistoje duomenų bazėje buvo finansinė ir asmeninė „Fieldwork Software“ verslo klientų informacija. Beje, turint 26 GB duomenų bazės dydis atrodo gana mažas. Tačiau pranešama, kad duomenų bazėje buvo klientų vardai, adresai, telefono numeriai, el. Laiškai ir vartotojų ir klientų siunčiami ryšiai. Šokiruojančiai tai buvo tik dalis duomenų bazės. Kiti komponentai, kurie liko neapsaugoti, buvo instrukcijos, siunčiamos aptarnaujantiems darbuotojams, ir darbo vietų nuotraukos, kurias darbuotojai nufotografavo.

Jei tai nėra pakankamai blogai, duomenų bazėje taip pat buvo slapta asmeninė informacija apie klientų fizines vietas. Pranešama, kad į informaciją buvo įtrauktos klientų GPS vietos, IP adresai, atsiskaitymo informacija, parašai ir visa išsami kredito kortelės informacija, įskaitant kortelės numerį, galiojimo laiką ir CVV saugumo kodą.

https://twitter.com/autumn_good_35/status/1148240266626605056

Nors buvo atskleista klientų informacija, „Fieldwork Software“ platforma taip pat liko pažeidžiama. Taip yra todėl, kad duomenų bazėje taip pat buvo automatinių prisijungimo nuorodų, naudojamų norint pasiekti „Fieldwork“ paslaugų portalą. Paprastais žodžiais tariant, duomenų bazėje taip pat buvo platformos vidinės sistemos ir administravimo skaitmeniniai raktai. Nereikia nė sakyti, kad kenksmingas ar iniciatyvus įsilaužėlis be didelių sunkumų gali lengvai įsiskverbti į pagrindinę „Fieldwork“ platformą. Be to, įsilaužęs įsilaužėlis gali lengvai sutrikdyti platformą ir prarasti reputaciją, įspėjo „vpnMentor“ kibernetinio saugumo tyrėjai,

' Prieiga prie portalo yra ypač pavojinga informacija. Blogas veikėjas gali pasinaudoti ta prieiga ne tik naudodamasis ten saugomais išsamiais kliento ir administraciniais įrašais. Jie taip pat galėtų užblokuoti įmonę iš sąskaitos, atlikdami vidinius pakeitimus . '

Lauko darbų programinė įranga veikia greitai ir prilimpa:

„vpnMentor“ kibernetinio saugumo tyrėjai kategoriškai pažymėjo, kad „Fieldwork Software“ veikė labai greitai ir užtaisė saugumo pažeidimą. Iš esmės „vpnMentor“ prieš viešą atskleidimą „Fieldwork“ atskleidė nutekėjusios duomenų bazės egzistavimą, o pastaroji nutekėjimą nutuko per 20 minučių nuo mokslininkų el. Laiško gavimo.

Vis dėlto neatskleistą laiką visai „Fieldwork Software“ platformai, jos klientų duomenų bazei ir klientams grėsė didelė įsiskverbimo ir išnaudojimo rizika. Svarbu tai, kad duomenų bazėje buvo ne tik neskelbtina skaitmeninė informacija, bet ir informacija apie realias ar fizines vietas. Pasak tyrimą atlikusių tyrėjų, duomenų bazėje buvo „ paskyrimo laikas ir instrukcijos, kaip patekti į pastatus, įskaitant pavojaus kodus, užrakto dėžutės kodus, slaptažodžius ir raktų paslėpimo aprašymus . “ Suteikti tokie įrašai buvo išvalyti po 30 dienų sukūrimo, tačiau vis tiek įsilaužėliai, turėdami tokią informaciją, galėjo organizuoti atakas prieš fizines vietas. Žinant raktų ir prieigos kodų vietas, užpuolikai galėtų lengvai įsiskverbti į saugumą, nenaudodami smurto ar jėgos.

Greitas „Fieldwork Software“ veiksmas yra pagirtinas, ypač dėl to, kad pranešimas apie duomenų pažeidimus dažnai sulaukia rimtos kritikos, neigimo ir prieštaravimų dėl įmonių sabotažo. Dažniau įmonės skiria sau mielą laiką, kad užtaisytų saugumo spragas. Būta nemažai atvejų kur bendrovės visiškai neigė egzistavimas neapsaugotos ar neužtikrintos duomenų bazės . Todėl malonu matyti, kad įmonės greitai suvokia situaciją ir veikia greitai.

Žymos Kibernetinė sauga