WizCase یک پایگاه داده باز Elasticsearch از GuyDemarle ، یک بستر آنلاین برای فروش تجهیزات آشپزی پیدا کرده است. این پلتفرم همچنین به عنوان یک سایت اجتماعی کار می کند که در آن افراد می توانند تعامل داشته باشند ، کاربران محبوب را دنبال کنند ، دستور العمل های خود را به اشتراک بگذارند و برای استفاده بعدی آنها را در حساب خود ذخیره کنند. این سرور حاوی داده های کاربر شخصی شامل آدرس های ایمیل ، نام های کامل و موارد دیگر از بیش از 85000 کاربر ثبت شده است.

چه خبر است؟

تیم هکتیویست های ما ، به سرپرستی کارشناس امنیتی Avishai Efrat ، یک پایگاه داده نا امن سرور مورد استفاده برای ذخیره داده های کاربر GuyDemarle . از آنجا که سرور تنظیمات امنیتی دقیقی روشن نکرد ، اطلاعات خصوصی بیش از 85000 کاربر فعال در وب سایت را فاش کرد. این اطلاعات به دلیل عدم رمزگذاری سرور یا محافظت از رمز عبور ، توسط هر مرورگر اینترنتی ساده قابل مشاهده است.

اطلاعات فاش شده اطلاعات شخصی کاربران ، مانند:

این آسیب پذیری هم کاربران موجود و هم افرادی که تازه وارد سایت هستند را تحت تأثیر قرار داد. برای بررسی اینکه چه اطلاعاتی قابل مشاهده است و اگر نشت هنوز فعال است ، ما به عنوان کاربر جدید از طریق وب سایت GuyDemarle ثبت نام کردیم.

در نتیجه ، جزئیات ما بلافاصله در سرور باز ظاهر شد ، و همه اطلاعات ما این آدرس ایمیل ، نام کامل ، تعداد دنبال کنندگان ، آدرس IP و اینکه آیا iCooking و beSave را خریداری کردیم نشان داد.

که اطلاعات در دسترس است و پیامدهای چنین نشتی چیست؟

نشت داده ها بیش از 85.500 اطلاعات آسیب پذیر کاربران را در معرض خطر قرار داده است . از آنجا که سرور برای ذخیره اطلاعات زنده و نه پشتیبان گیری یا آزمایش مورد استفاده قرار گرفت ، تعداد کاربران در معرض نگه داشته در حال رشد در طول تحقیق ما. از آنجا که وب سایت GuyDemarle تعداد زنده کاربران موجود را نمایش می دهد ، ما همچنین متوجه شدیم که در هر زمان معینی با داده های موجود در پایگاه داده مطابقت دارد. این نشان می دهد که داده ها همگام سازی شده اند و از سرور برای ذخیره اطلاعات زنده درباره وب سایت استفاده شده است و نه نسخه پشتیبان و یا داده های آزمایش.

علاوه بر این ، ما کشف کردیم که بسیاری از کاربران داده های خود را ذخیره کرده اند. مکانهای مختلف روی سرور . این بدان دلیل است که اطلاعات شخصی آنها در کنار داده های مربوط به فعالیت دستور العمل های کاربر ذخیره شد. از آنجا که داده ها در همه ورودی های دستور العمل و همچنین در ورودی های داده های کاربر ذخیره می شدند ، می توانیم به راحتی کاربران را با فعالیت آنلاین آنها در وب سایت مرتبط کنیم.

خوشبختانه برای کاربران ، به نظر می رسد که هیچ جزئیات پرداختی ذخیره نشده است. روی سرور . در عوض ، تنها اطلاعات خرید موجود شماره سریال محصولات iCooking و beSave است که توسط هر کاربر خریداری شده است. این به ما نشان داد که چه کسی وسایل آشپزی هوشمند ، مانند ربات iCooking یا ظروف مواد غذایی سازگار با محیط زیست را خریداری کرده ایم.

با این حال ، این نقص داده ها هنوز کاربران GuyDeMarle را در معرض کلاهبرداری ها و تهدیدات آنلاین قرار داده است ، مانند :

چگونه اتفاق افتاد و حالا چه باید کرد؟

همانطور که Elasticsearch طراحی شده است که روی آن نصب شود. شبکه داخلی شرکت ، به طور پیش فرض قبل از اجازه دسترسی به دیتابیس نیازی به تأیید اعتبار ندارد. اگر این تنظیمات پس از نصب به صورت دستی تغییر نکرده باشد ، می تواند به هر کسی که به سرور Elasticsearch دسترسی داشت اجازه دهد داده های کاربران GuyDeMarle را مرور کند . علاوه بر این ، سرور آسیب پذیر هیچ تنظیمات امنیتی ، مانند لیست سفید یا فایروال را فعال نمی کند.

اگر شما یک کاربر GuyDeMarle هستید ، باید برای محافظت از اطلاعات شخصی خود اقدامات احتیاطی بیشتری را انجام دهید. هوشیار باشید و از هرگونه فعالیت غیرمعمول که در ایمیل یا سایر حساب های آنلاین خود ظاهر می شوید آگاه باشید زیرا این امر می تواند دزدی هویت را نشان دهد.