Gerdab.IR | گرداب

به گزارش گرداب، ای‌لِوِل (Elevel)، یک شرکت پیشرو مهندسی برق در روسیه، اطلاعات شناسایی شخصی مشتریان خود (PII)، از جمله نام و آدرس کامل را در معرض دید عموم قرار داده است.

ای‌لول که در سال ۱۹۹۱ تاسیس شد، خود را به عنوان شرکت پیشرو مهندسی برق روسیه که هم تجارت الکترونیک و هم فروشگاه‌های عمده فروشی را اداره می‌کند، معرفی کرده‌است.

در تاریخ ۲۴ ژانویه، تیم تحقیقاتی سایبرنیوز (Cybernews) یک مجموعه داده‌ی باز با ۱.۱ ترابایت داده را کشف کرد و سپس آن را به ای‌وِی (e.way) نسبت داد که یک فروشگاه آنلاین متعلق به ای‌لول با ۲۵۰۰۰ نفر بازدید کننده‌ی ماهانه می‌باشد.

مجموعه داده با هفت میلیون ورودی داده، به افشای اطلاعات حساس دو ساله ازجمله نام، نام خانوادگی، شماره تلفن، آدرس ایمیل و آدرس تحویل مشتریان پرداخت.

به گفته‌ی محققان سایبرنیوز: «اگر عوامل تهدید افشا شوند، می‌توانند داده‌های خوشه را دانلود و شبیه‌سازی کرده و از آن برای مقاصد شرورانه، از جمله حملات فیشینگ استفاده کنند، زیرا دارای پی. آی. آی کافی بوده و بدین ترتیب کلاهبرداری خود را مشروع جلوه می‌دهند».

علاوه بر این، حاوی داده‌های ورود و رمز‌های عبور در رمزگذاری یو. آر. اِل (URL) بود که مکانیزم حفاظتی نسبتا ضعیفی در نظر گرفته می‌شود، زیرا می‌توان آن را به راحتی رمزگشایی کرد.
محققان سایبرنیوز خاطرنشان کردند: «از آنجایی که تعدادی از نام‌های کاربری و رمز‌های عبور در معرض دید قرار

می‌گیرند، می‌تواند عاملان تهدید با اعتبار معتبر را قادر سازد تا داده‌های حساس بیشتری را به دست آورند و جهت خرید‌های جعلی، به جعل هویت کاربران بپردازند.»

مجموعه داده اکنون بسته شده است و ما همچنان منتظر دریافت پاسخ رسمی شرکت هستیم.

پایگاه‌های غیرمجاز انتقال‌دهنده‌ی داده

ما به صورت روزانه به پایگاه‌های داده محافظت نشده برخورد می‌کنیم که در برخی موارد، آن‌ها حاوی داده‌های عمومی هستند و بنابراین خطرات جدی برای شرکت یا مشتریان آن ایجاد نمی‌کنند، اما به هر حال همیشه اینگونه نیست.

اخیراً اخباری در مورد غول خرده فروشی و گاز، سِرکِل‌کا (Circle K)، منتشر کردیم که مشتریان آمریکایی خود را افشا می‌کند. شایان ذکر است سِرکِل‌کا فروشگاهی زنجیره‌ای و پمپ بنزین است که طیف گسترده‌ای از محصولات را به افراد ارائه می‌دهد. این شرکت کارت‌های پرداخت جزئی مشتریان، اطلاعات کامل کارت وفاداری و اطلاعات حساس کارکنان را در معرض دید عموم گذاشت.

یک تحقیق جامع سایبرنیوز بر روی هزاران برنامه‌ی اندروید نشان داد که اسرار حساس مانند مجموعه داده‌های فایربیس (Firebase) باز یا سطل‌های ذخیره‌سازی گوگل، در میان موارد دیگر، اغلب در «سمت مشتری» یا دستگاه کاربر نهایی کدگذاری می‌شوند. این بدان معناست که عوامل تهدید می‌توانند به سادگی با تجزیه و تحلیل داده‌های عمومی با کمک زیرساخت‌های نسبتاً متوسط، به گنجینه‌ای از داده‌ها دسترسی پیدا کنند.
در برخی موارد، پایگاه‌های داده باز حتی باعث می‌شود شرکت‌ها با باج‌افزار سروکار داشته باشند.

(باج‌افزار؛ بدافزاری که از رمزگذاری برای نگهداری اطلاعات قربانی به عنوان باج استفاده می‌کند).

در یکی از این اتفاقات، شاهد تهدید یک دارنده‌ی مجوز انتشارات تجاری هاروارد در ترکیه توسط کلاهبرداران بودیم.
عامل تهدید یک مجموعه داده باز با ۱۵۲۰۰۰ سوابق مشتری پیدا کرد، سپس اطلاعات را رمزگذاری نمود و از طریق یک یادداشت باج به تهدید افشای داده‌ها پرداخت که مقامات را از نقض مقررات حفاظت از داده‌های عمومی اتحادیه اروپا جی. دی. پی. آر (GDPR) مطلع می‌کند.

نشت داده‌های تامسون رویترز که اخیراً توسط تیم تحقیقاتی سایبرنیوز کشف شده است، نمونه‌ای بارز از این واقعیت است که حتی بازیگران بزرگ بازار با اقدامات پیشگیرانه‌ی قوی می‌توانند مستعد خطا‌های مشابه باشند.