WhiteHat News #ID:2018
WhiteHat Support
-
20/03/2017
-
129
-
443 bài viết
Gần nửa triệu người dân Delhi bị lộ lọt dữ liệu cá nhân
Một nhà nghiên cứu tìm thấy một máy chủ không được đảm bảo an ninh làm dò rỉ thông tin cá nhân của gần nửa triệu công dân Ấn Độ nhờ vào một cơ sở dữ liệu MongoDB khác mà công ty này lơ là về an ninh, khiến tất cả mọi người có thể truy cập mà không cần mật khẩu.
Bob Diachenko cho biết hai ngày trước ông tìm thấy một cơ sở dữ liệu nhạy cảm 4.1GB, có tên là “GNCTD”, chứa thông tin thu thập được trên 458,388 cá nhân ở Delhi, bao gồm số Aadhaar và mã số cử tri.
Mặc dù không rõ liệu cơ sở dữ liệu bị lộ có liên quan đến với Chính phủ Lãnh thổ Thủ đô Quốc gia Delhi (GNCTD) hay không, Diachenko nhận thấy trong đó có các tham chiếu và địa chỉ email với tên miền “transerve.com” cho người dùng đăng kí với định danh “giám sát viên cấp cao” và “quản trị viên cấp cao”.
Theo các thông tin từ website của công ty này - Transerve Technologies, đây là một công ty có trụ sở tại Goa, chuyên về các giải pháp thành phố thông minh và công nghệ thu thập dữ liệu tiên tiến.
Công cụ thu thập dữ liệu, lập bản đồ chính xác và công cụ xác định địa điểm thông minh của công ty giúp cho các doanh nghiệp trong các ngành khác nhau và cơ quan Chính phủ sử dụng dữ liệu vị trí địa lý nhằm đưa ra những quyết định sáng suốt.
Cơ sở dữ liệu bị lộ chứa những thông tin sau:
• Người dùng EB (14.861 hồ sơ)
• Hộ gia đình (102.863 hồ sơ)
• Cá nhân (458.388 hồ sơ)
• Người dùng đã đăng ký (399 hồ sơ)
• Người dùng (2.983 hồ sơ)
Một trong những bảng cơ sở dữ liệu chứa thông tin người dùng đã đăng ký bao gồm địa chỉ email, mật khẩu đã được mã hóa hash và tên người dùng để truy cập quyền quản trị.
Thông tin chi tiết nhất trong tập dữ liệu “cá nhân”, bao gồm các điều kiện về sức khỏe, giáo dục….
Tập dữ liệu hộ gia đình chứa các trường dữ liệu như: ‘tên’, ‘số nhà’, ‘số tầng’, ‘vị trí địa lý’, ‘chi tiết khu vực’, ‘địa chỉ email’ của giám sát viên …
Diachenko cho biết chưa thể biết chắc chắn những dữ liệu này đã bị lộ lọt từ bao giờ và đã có ai truy cập hay chưa
Bởi vì Transerve không phản hồi về vấn đề này, Diachenko đã liên lạc với trung tâm ứng cứu khẩn cấp máy tính Ấn Độ (Indian CERT). Trung tâm này đã phối hợp với công ty để gỡ bỏ những thông tin bị lộ lọt.
Diachenko nói: “Nguy cơ lộ lọt cơ sở dữ liệu MongoDB hoặc các cơ sở dữ liệu NoSQL khác là rất lớn. Trước đây, chúng tôi đã báo cáo rằng việc thiếu xác thực có thể khiến hàng ngàn máy chủ MongoDB bị đặt phần mềm độc hại ransomware”.
“Cấu hình công khai cũng có thể tạo điều kiện cho tội phạm mạng quản lý toàn bộ hệ thống với đầy đủ các đặc quyền quản trị. Một khi đã cài được mã độc, tội phạm có thể truy cập từ xa vào tài nguyên máy chủ, thậm chí khởi chạy một mã thực thi để đánh cắp hoặc phí hủy hoàn toàn mọi dữ liệu đã lưu trong máy chủ.”
MongoDB là cơ sở dữ liệu NoSQL nguồn mở phổ biến nhất, được các công ty thuộc mọi quy mô sử dụng, từ Ebay và Sourceforge đến The New York Times và LinkedIn.
Bob Diachenko cho biết hai ngày trước ông tìm thấy một cơ sở dữ liệu nhạy cảm 4.1GB, có tên là “GNCTD”, chứa thông tin thu thập được trên 458,388 cá nhân ở Delhi, bao gồm số Aadhaar và mã số cử tri.
Mặc dù không rõ liệu cơ sở dữ liệu bị lộ có liên quan đến với Chính phủ Lãnh thổ Thủ đô Quốc gia Delhi (GNCTD) hay không, Diachenko nhận thấy trong đó có các tham chiếu và địa chỉ email với tên miền “transerve.com” cho người dùng đăng kí với định danh “giám sát viên cấp cao” và “quản trị viên cấp cao”.
Theo các thông tin từ website của công ty này - Transerve Technologies, đây là một công ty có trụ sở tại Goa, chuyên về các giải pháp thành phố thông minh và công nghệ thu thập dữ liệu tiên tiến.
Công cụ thu thập dữ liệu, lập bản đồ chính xác và công cụ xác định địa điểm thông minh của công ty giúp cho các doanh nghiệp trong các ngành khác nhau và cơ quan Chính phủ sử dụng dữ liệu vị trí địa lý nhằm đưa ra những quyết định sáng suốt.
Cơ sở dữ liệu bị lộ chứa những thông tin sau:
• Người dùng EB (14.861 hồ sơ)
• Hộ gia đình (102.863 hồ sơ)
• Cá nhân (458.388 hồ sơ)
• Người dùng đã đăng ký (399 hồ sơ)
• Người dùng (2.983 hồ sơ)
Một trong những bảng cơ sở dữ liệu chứa thông tin người dùng đã đăng ký bao gồm địa chỉ email, mật khẩu đã được mã hóa hash và tên người dùng để truy cập quyền quản trị.
Thông tin chi tiết nhất trong tập dữ liệu “cá nhân”, bao gồm các điều kiện về sức khỏe, giáo dục….
Tập dữ liệu hộ gia đình chứa các trường dữ liệu như: ‘tên’, ‘số nhà’, ‘số tầng’, ‘vị trí địa lý’, ‘chi tiết khu vực’, ‘địa chỉ email’ của giám sát viên …
Diachenko cho biết chưa thể biết chắc chắn những dữ liệu này đã bị lộ lọt từ bao giờ và đã có ai truy cập hay chưa
Bởi vì Transerve không phản hồi về vấn đề này, Diachenko đã liên lạc với trung tâm ứng cứu khẩn cấp máy tính Ấn Độ (Indian CERT). Trung tâm này đã phối hợp với công ty để gỡ bỏ những thông tin bị lộ lọt.
Diachenko nói: “Nguy cơ lộ lọt cơ sở dữ liệu MongoDB hoặc các cơ sở dữ liệu NoSQL khác là rất lớn. Trước đây, chúng tôi đã báo cáo rằng việc thiếu xác thực có thể khiến hàng ngàn máy chủ MongoDB bị đặt phần mềm độc hại ransomware”.
“Cấu hình công khai cũng có thể tạo điều kiện cho tội phạm mạng quản lý toàn bộ hệ thống với đầy đủ các đặc quyền quản trị. Một khi đã cài được mã độc, tội phạm có thể truy cập từ xa vào tài nguyên máy chủ, thậm chí khởi chạy một mã thực thi để đánh cắp hoặc phí hủy hoàn toàn mọi dữ liệu đã lưu trong máy chủ.”
MongoDB là cơ sở dữ liệu NoSQL nguồn mở phổ biến nhất, được các công ty thuộc mọi quy mô sử dụng, từ Ebay và Sourceforge đến The New York Times và LinkedIn.
The hacker news