Один из исследователей в своем Twitter-аккаунте опубликовал информацию о том, что он обнаружил свободно доступный сервер MongoDB, в базах данных (Collections) которого содержалась информация сервиса доставки еды 2-berega.ru.
По информации системы DLBI (https://dlbi.ru/) данный сервер появился в открытом доступе еще 21.03.2022 и оставался доступным до 29.03.2022.
На момент обнаружения в базе данных callbackProd содержалось более 10,39 млн строк:
- адрес доставки
- имя получателя
- телефон
- дата создания и стоимость заказа
Поскольку сервер оставался в свободном доступе почти неделю, нет никаких сомнений в том, что все данные с него были выкачаны. Особенно учитывая тот факт, что исследователь, написавший о нем в Twitter, находится на Украине и до этого предупреждал, что не будет оповещать российские сервисы об обнаруженных уязвимостях.
UPD:
Не прошло и нескольких часов, как на теневом форуме был выложен полный дамп (6 файлов) этого сервера MongoDB.
В файле callbackLog.bson содержится 10,258,524 строки:
- адрес доставки
- имя получателя
- мобильный телефон (всего 779,801 уникальных номеров)
- хешированный (bcrypt) пароль
- дата создания (с 16.08.2021 по 10.03.2022) и стоимость заказа
Отдельно отметим, что в файле authPassword.bson содержится 503,457 уникальных номеров телефонов и хешированных, стойким алгоритмом bcrypt, паролей, но при этом в соседнем столбце находятся пароли в открытом (текстовом) виде.
habr.com
По информации системы DLBI (https://dlbi.ru/) данный сервер появился в открытом доступе еще 21.03.2022 и оставался доступным до 29.03.2022.
На момент обнаружения в базе данных callbackProd содержалось более 10,39 млн строк:
- адрес доставки
- имя получателя
- телефон
- дата создания и стоимость заказа
Поскольку сервер оставался в свободном доступе почти неделю, нет никаких сомнений в том, что все данные с него были выкачаны. Особенно учитывая тот факт, что исследователь, написавший о нем в Twitter, находится на Украине и до этого предупреждал, что не будет оповещать российские сервисы об обнаруженных уязвимостях.
UPD:
Не прошло и нескольких часов, как на теневом форуме был выложен полный дамп (6 файлов) этого сервера MongoDB.
В файле callbackLog.bson содержится 10,258,524 строки:
- адрес доставки
- имя получателя
- мобильный телефон (всего 779,801 уникальных номеров)
- хешированный (bcrypt) пароль
- дата создания (с 16.08.2021 по 10.03.2022) и стоимость заказа
Отдельно отметим, что в файле authPassword.bson содержится 503,457 уникальных номеров телефонов и хешированных, стойким алгоритмом bcrypt, паролей, но при этом в соседнем столбце находятся пароли в открытом (текстовом) виде.
Слив базы сервиса доставки еды 2-berega.ru
Один из исследователей в своем Twitter-аккаунте опубликовал информацию о том, что он обнаружил свободно доступный сервер MongoDB, в базах данных (Collections) которого содержалась информация сервиса...
habr.com