Un server non protetto ha fatto trapelare 24 milioni di documenti sulle abitazioni sensibili non una ma due volte

[ware_item id=33][/ware_item]

Documenti dell'acquirente esposti a perdite di abitazioni di grandi dimensioni


Se vivi negli Stati Uniti e hai acquistato una casa negli ultimi dieci anni, le tue informazioni potrebbero essere a rischio. Secondo TechCrunch, sono stati esposti oltre 24 milioni di documenti ipotecari e bancari non una ma due volte.

Le informazioni esposte includevano accordi di prestito ipotecario, programmi di pagamento, numeri di telefono dei mutuatari e altri dati finanziari sensibili.

Il colpevole? Un singolo server non protetto. Se ritieni che ciò sia negativo, peggiora: oltre a contenere milioni di documenti riservati, questo server non ha nemmeno incluso una password.

In altre parole, queste informazioni erano disponibili per chiunque avesse cinque secondi per aprire il proprio browser e digitare l'URL.

Lasciando oggetti di valore all'interno con la porta aperta sbloccata

I documenti in questione sono stati archiviati da Ascension, una società di dati e analisi di terze parti. In un post di blog pubblico, l'esperto di infosec Bob Diachenko, che per primo ha scoperto il server pubblico, ha dichiarato che c'erano più di 24 milioni di record disponibili apertamente.

I record, che risalgono a più di un decennio, ospitavano un enorme 51 GB di dati OCR (riconoscimento ottico dei caratteri). Mentre questo tipo di testo è facilmente leggibile a occhio nudo, può essere facilmente analizzato insieme per divulgare dettagli privati.

"Questa informazione sarebbe una miniera d'oro per i criminali informatici che avrebbero tutto ciò di cui hanno bisogno per rubare identità, presentare false dichiarazioni fiscali, ottenere prestiti o carte di credito", ha scritto Diachenko.

I finanziatori non avevano idea che esistessero questi documenti

Il server esposto ospitava decine di migliaia di documenti finanziari provenienti da diverse banche e istituzioni, tra cui Wells Fargo, Capital One, HSBC Life Insurance, CitiFinancial e molti altri. Mentre le informazioni erano in qualche modo confuse, era relativamente facile ricostruire, specialmente se una persona dovesse usare gli strumenti giusti.

Ma ecco il kicker: la maggior parte delle banche ha dichiarato di non avere affiliazioni con l'Ascensione. In effetti, Wells Fargo ha continuato a registrare affermando che non aveva "nessuna relazione con l'Ascensione dal 2010". HSBC ha detto la stessa cosa.

Ciò significa che i documenti di alloggi personali delle persone sono saltati in giro da diverse aziende, cambiando le mani più volte, in alcuni casi senza che il prestatore finanziario originale lo sapesse—Per arrivare alla fine su un sito web in cui tutti hanno invitato gli estranei.

Mi prendi in giro due volte, vergognati

L'esposizione sembra un caso aperto e chiuso, giusto? Sfortunatamente no. Un giorno dopo il rapporto iniziale, Diachenko ha trovato un altro server non sicuro che ospitava gli stessi file. Questo server, ancora una volta, non includeva un blocco password e, peggio ancora, elencava effettivamente tutti i documenti sensibili in testo semplice.

Ancora una volta, peggiora. I file sono stati archiviati su un server di archiviazione Amazon S3, che per impostazione predefinita abilita la protezione con password. Ciò significa che la parte (o le parti) responsabile dell'alloggiamento di questi documenti personali ha disattivato volontariamente le impostazioni di protezione della password.

È come tenere tutti i tuoi soldi sotto il materasso, rimuovere fisicamente la porta di casa e andare in vacanza per una settimana!

OK, se pensavi che le cose potessero andare peggio con la storia dei documenti sui mutui che abbiamo rotto, ti sbagli. Ho trovato una benna OPEN S3 pubblicamente piena di documenti digitalizzati che venivano usati per OCR => Elasticsearch ... @zackwhittaker dirà di più in un secondo

- Bob Diachenko (@MayhemDayOne) 24 gennaio 2019

Vale la pena notare che, come la prima cache di dati, questa includeva anche W-2 e altri documenti finanziari sensibili. Sfortunatamente, non c'è modo di dire per quanto tempo queste informazioni sono state esposte o quali parti le hanno visualizzate.

"Suppongo che dopo tale pubblicità come quella di questi ragazzi, la prima cosa che faresti è controllare se il tuo archivio cloud è inattivo o, almeno, protetto da password", ha detto Diachenko.

Apparentemente no.

Passi per proteggere le tue informazioni

Mentre è perfettamente possibile che non sia stato fatto alcun danno, non fa mai male essere preparati. Se vivi negli Stati Uniti e hai acquistato una casa nell'ultimo decennio, potresti voler dedicare qualche minuto a esaminare i tuoi rapporti di credito recenti per vedere se ci sono cambiamenti importanti.

Si consiglia inoltre di abilitare l'autenticazione a 2 fattori sui vari account online. Impostando un secondo metodo di accesso, terze parti non saranno in grado di accedere ai vari account, anche se dispongono di tutte le tue informazioni.

Inoltre, è anche importante ricontrollare tutti gli indirizzi email prima di aprire un allegato. Con pezzi delle tue informazioni personali a portata di mano, è noto che gli hacker inviano e-mail dannose camuffate da società rispettabile che spesso menzionano dettagli specifici (ad esempio nome utente, password, ecc.) E quindi sollecitano il destinatario a modificare (o confermare) la loro password, aprire un allegato e altro ancora.

Se non conosci il destinatario, o se un'email viene automaticamente contrassegnata come sospetta, è consigliabile avvicinarti con cautela.

Mentre questa storia è ancora in fase di sviluppo, funge da ammonimento per abilitare sempre la password e le impostazioni di sicurezza. Poiché non puoi fidarti di un'azienda a caso per proteggere i tuoi dati personali, spetta a te prendere la tua privacy nelle tue mani.

Un server non protetto ha fatto trapelare 24 milioni di documenti sulle abitazioni sensibili non una ma due volte
admin Author
Sorry! The Author has not filled his profile.