Raportti: Miljoonat amerikkalaiset ovat vaarassa suurten tietojen ja tekstiviestien vuodon jälkeen


esittely

Noam Rotemin ja Ran Locarin johtama vpnMentorin tutkimusryhmä löysi rikkoutuneen tietokannan, joka kuuluu amerikkalaiselle viestintäyritykselle TrueDialogille.

TrueDialog tarjoaa tekstiviestitekstejä USA: n yrityksille, ja kyseinen tietokanta yhdistettiin moniin liiketoiminnan osa-alueisiin. Tämä oli valtava löytö, johon paljastettiin valtava määrä yksityistä tietoa, mukaan lukien kymmeniä miljoonia tekstiviestejä. 

Yksityisten tekstiviestien lisäksi tiimimme löysi miljoonia tilien käyttäjänimiä ja salasanoja, TrueDialog-käyttäjien ja heidän asiakkaidensa henkilökohtaisia ​​tietoja (PII) ja paljon muuta. 

Koska TrueDialog ei suojannut tietokantaansa kunnolla, se vaaransi miljoonien ihmisten turvallisuuden ja yksityisyyden Yhdysvalloissa.

TrueDialog-yritysprofiili

TrueDialog sijaitsee Austinissa, Texasin Yhdysvalloissa, ja on ollut toiminnassa yli 10 vuotta. Se on erikoistunut luomaan SMS-ratkaisuja suurille ja pienille yrityksille. On olemassa useita erilaisia ​​tekstiviestiohjelmia, kuten joukkotekstiviestit, markkinointi-SMS-vaihtoehdot, kiireelliset hälytykset, koulutus-SMS-ratkaisu ja paljon muuta. 

Tällä hetkellä TrueDialog toimii yli 990 matkapuhelinoperaattorin kanssa ja tavoittaa yli 5 miljardia tilaajaa ympäri maailmaa. 

Löytön aikajana ja omistajan reaktio

Joskus tietosuojarikkomusten laajuus ja tietojen omistaja ovat ilmeiset, ja ongelma ratkaistaan ​​nopeasti. Mutta tämä on todella harvinaisuus, yleensä vie useita päiviä tutkimuksia, ennen kuin ymmärrämme, mikä on vaakalaudalla tai kuka vuotaa tietoja.

Rikkomuksen ja vaaran ymmärtäminen vie huolellista huomiota ja aikaa. Teemme kovasti töitä julkaistakseen tarkkoja ja luotettavia raportteja, varmistaa, että kaikki heitä lukevat ymmärtävät heidän vakavuudensa.

Jotkut asianomaiset osapuolet kiistävät tosiseikat, jättämättä huomiotta tutkimuksemme tai heikentäen sen vaikutusta. Joten meidän on oltava perusteellisia ja Varmista, että kaikki löytämämme on oikein ja totta.

Tässä tapauksessa oli melko helppo tunnistaa TrueDalog tietokannan omistajaksi. Heidän isäntätunnuksensa “api.truedialog.com” löytyi kaikkialta. Oli kuitenkin myös selvää, että kyseessä oli valtava tietosuojarikkomus, joka vaaransi kymmenien miljoonien Yhdysvaltain kansalaisten yksityisyyden ja turvallisuuden eri puolilla maata. 

Kun TrueDialog-tietokannassa paljastettujen tietojen koko laajuus oli selvä, otimme yhteyttä yritykseen. Paljastamme havainnot ja tarjomme asiantuntemustamme auttaaksemme heitä sulkemaan tietovuodot ja varmistamaan, ettei kukaan ole alttiina riskille. 

Tietokanta on sittemmin suljettu, mutta TrueDialog ei koskaan vastannut meille. 

  • Löytöpäivä: 26/11/19
  • Päivämäärä, johon myyjät ottivat yhteyttä: 28/11/19
  • Toimenpiteen päivämäärä: 29.11.1919

Katsaus tietokantaan

TrueDialog-tietokantaa isännöi Microsoft Azure ja se toimii Oracle Marketing Cloud -ympäristössä Yhdysvalloissa. Kun viimeksi tarkastelimme tietokantaa, se sisälsi 604 Gt tietoa. Tämä sisälsi lähes miljardin merkinnän erittäin arkaluonteisia tietoja, joita kerrotaan alla.

Esimerkki paljastetusta tiedosta

Tämän tiedon vuodon koon saattaminen kontekstiin on vaikeaa. Kymmenet miljoonat ihmiset altistettiin potentiaalisesti monin tavoin. On harvinaista, että yksi tietokanta sisältää niin suuren määrän tietoa, joka on myös uskomattoman vaihtelevaa.

Tietokanta sisälsi merkintöjä, jotka liittyivät TrueDialogin liiketoimintamallin moniin näkökohtiin. Itse yritys paljastettiin, samoin kuin asiakaskunta ja näiden asiakkaiden asiakkaat.   

Tämän tietokannan tietoja olisi voitu käyttää lukemattomilla tavoilla ihmisiä vastaan, joiden tiedot paljastettiin.

TrueDialog-tilin kirjautumiset

Miljoonat sähköpostiosoitteet, käyttäjänimet, selkeät tekstin salasanat ja base64-koodatut salasanat (jotka on helppo purkaa) olivat helposti saatavilla tietokannassa..

Raportti: Miljoonat amerikkalaiset ovat vaarassa suurten tietojen ja tekstiviestien vuodon jälkeen

TrueDialogin kautta lähetetyt tekstiviestit

Pystyimme löytämään kymmeniä miljoonia merkintöjä TrueDialogin kautta lähetetyistä viesteistä ja foorumin isännöimistä keskusteluista. Näiden tekstiviestien herkkä tieto sisälsi, mutta ei rajoittunut niihin:

  • Vastaanottajien täydet nimet, TrueDialog-tilinomistajat, & TrueDialog-käyttäjät
  • Viestien sisältö
  • Sähköpostiosoitteet
  • Vastaanottajien ja käyttäjien puhelinnumerot
  • Päivämäärät ja ajat viestien lähettämiselle
  • Lähetettyjen viestien tilaindikaattorit, kuten Lue kuitit, vastaukset jne.
  • TrueDialog-tilitiedot

Paljastettu tieto oli sekoitus TrueDialog-tilinomistajia, käyttäjiä ja kymmeniä miljoonia Yhdysvaltain kansalaisia.

Raportti: Miljoonat amerikkalaiset ovat vaarassa suurten tietojen ja tekstiviestien vuodon jälkeen

Tilin käyttäjän tiedot

Oli satoja tuhansia merkintöjä, joissa oli tietoja käyttäjistä, mukaan lukien täydelliset nimet, puhelinnumerot, osoitteet, sähköpostit ja paljon muuta.

Löydettiin myös joitain yksityiskohtaisempia käyttäjätietoja. Tietokannan hakuominaisuuksissa esiintyvien ongelmien vuoksi oli kuitenkin vaikea arvioida näiden merkintöjen tarkkaa määrää.

Tekniset lokit

Nämä lokit paljasti tärkeitä yksityiskohtia siitä, miten tietokanta on rakennettu ja hallittu. Esimerkiksi satoja tuhansia merkintöjä dokumentoitiin viestintä eri puhelinnumeroiden välillä, jotka on linkitetty TrueDialogs-markkinointiympäristöön, Eloqua by Oracle.

Raportti: Miljoonat amerikkalaiset ovat vaarassa suurten tietojen ja tekstiviestien vuodon jälkeen

Löysimme tietokannasta myös sisäisiä järjestelmävirheitä sekä monia http-pyyntöjä ja vastauksia, mikä tarkoittaa, että kuka tahansa sen löytänyt, näki sivuston liikenteen. Tämä itsessään olisi voinut paljastaa haavoittuvuuksia.

Tietojen rikkomusten vaikutus

Tämän tietovuodon vaikutuksesta voi olla kestävä vaikutelma kymmenille miljoonille käyttäjille. Saatavia tietoja voidaan myydä sekä markkinoijille että roskapostittajille. 

TrueDialogille

Vaikutus on myös merkittävä TrueDialogille itse, mukaan lukien miten tämä vaikuttaa negatiivisesti heidän maineeseensa.

Heidän kilpailijansa olisivat voineet katsoa heidän taustansa ja nähdä kuinka yritystä johdetaan sisäpuolelta. Tämä olisi antanut heille tavan kopioida tai parantaa liiketoimintamallia, joka on tuonut TrueDialog-menestyksen. Ja nyt kun TrueDialog ei onnistunut pitämään asiakastietokantaansa turvallisena, kilpailijat voivat myös hyödyntää huonoa julkisuutta, jonka tuotemerkki saa, ja jopa ottaa asiakkaansa haltuunsa.

Lisäksi sisäisten järjestelmävirheiden lokien avulla huonojen aikomusten hakkerit voivat löytää haavoittuvuuksia TrueDialog-järjestelmässä ja hyödyntää niitä.

Yrityksille, jotka käyttävät TrueDialogia

Tilin haltuunotto

Tilin käyttöoikeustiedot eivät olleet vain suojaamattomia, vaan myös selkeitä. Tämä tarkoittaa, että kuka tahansa tietokantaa käyttänyt voi kirjautua sisään yritystiliin, vaihtaa salasanan ja tehdä uskomattoman määrän vahinkoa. 

Yritysten vakoilu

Tämä on jälleen yksi salaamaton viestijärjestelmä, jota TrueDialog käyttää. Yrityksen vakoojan olisi helppo lukea kilpailevan yrityksen lähettämiä luottamuksellisia viestejä. Tietoihin voisi sisältyä markkinointikampanjoita, uuden tuotteen käyttöönottopäivämääriä, uusia tuotemallia tai teknisiä tietoja ja paljon muuta. 

Tulonmenetykset, sis. Menettää lyijyt, jotka he ostavat

Tämä vuoto paljasti myös totuudet TrueDialog-käyttäjien potentiaalisten asiakkaiden myyntitapauksista. Käyttäjät ostavat johtoja ulkopuolisilta osapuolilta, ja jos nämä johtavat vuotoihin, he voivat menettää paljon rahaa.

Raportti: Miljoonat amerikkalaiset ovat vaarassa suurten tietojen ja tekstiviestien vuodon jälkeen

Yritysten asiakkaille & opiskelijat

Henkilöllisyysvarkaudet ja petokset

Huijari voi käyttää viesteissä paljastettuja yksityisiä tietoja, samoin kuin siinä paljastettuja täydellisiä nimiä, sähköpostiosoitteita ja puhelinnumeroita useisiin vilpillisiin järjestelmiin.. 

Tietokalastelu ja huijaukset (puhelin & online-tilassa)

Itse asiassa valtava määrä yhteystietoja on roskapostittajien kannalta valtava etu. Lisäksi paljastetut henkilökohtaiset tiedot voivat osoittautua erittäin arvokkaiksi, jotta ne voidaan kohdistaa yksilöihin vastaamaan roskapostiin ja tietojenkalasteluun.

Kiristää

Kaikilla viestin sisällöllä paljastetaan selkeästi, huijareilla on paljon ampumatarvikkeita kiristystä varten. Huijarit voivat käyttää mitä tahansa asiakkaan tai koulutusohjelmien opiskelijoiden lähettämää henkilökohtaista tietoa ja käyttää sitä kiristämään heidät.   

Asiantuntijoiden neuvoja

TrueDialog olisi voinut helposti välttää tämän vuodon, jos se olisi ryhtynyt joitain perusturvatoimenpiteitä tietokannan suojaamiseksi. Näitä ovat muun muassa:

  1. Suojaa palvelimet.
  2. Toteuta asianmukaiset pääsyä koskevat säännöt.
  3. Älä koskaan jätä internetiin avointa järjestelmää, joka ei vaadi todennusta.

Kuka tahansa yritys voi toistaa samat vaiheet koosta riippumatta.

Tarkempia tietoja yrityksen suojelemisesta saat tutustumalla oppaaseemme verkkosivustosi ja online-tietokannan suojaamiseen hakkereilta.

TrueDialog-käyttäjille

Jos olet TrueDialog-asiakas ja olet huolissasi siitä, miten tämä rikkomus voi vaikuttaa sinuun tai tietoturva-asioihin yleensä, lue täydellinen opas online-tietosuojaan.

Se näyttää sinulle, kuinka verkkorikolliset kohdistavat Internetin käyttäjiä monin tavoin, ja vaiheet, jotka voit tehdä pysyäksesi turvassa.

Kuinka ja miksi löysimme rikkomuksen

VpnMentor-tutkimusryhmä havaitsi rikkomuksen TrueDialog-tietokannasta osana suurta verkkokarttausprojektia. Tutkijamme käyttävät porttiskannausta tiettyjen IP-lohkojen tutkimiseen ja järjestelmien avoimien reikien testaamiseen heikkouksien varalta. He tutkivat jokaisen aukon tietojen vuotamisen varalta. 

Kun he löytävät tietosuojan, he käyttävät asiantuntijatekniikoita tietokannan henkilöllisyyden todentamiseen. Sen jälkeen ilmoitamme yritykselle rikkomuksesta. Jos mahdollista, ilmoitamme myös heille, joihin rikkomus vaikuttaa.

Tiimimme pääsi käyttämään tätä tietokantaa, koska se oli täysin suojaamaton ja salaamaton. 

Yhtiö käyttää Elasticsearch-tietokantaa, jota ei yleensä ole suunniteltu URL-osoitteiden käyttöön. Pystyimme kuitenkin käyttämään sitä selaimen kautta ja manipuloimaan URL-hakukriteerejä paljastamaan tietokantakaaviot. 

Tämän web-kartoitusprojektin tarkoituksena on tehdä Internetistä turvallisempaa kaikille käyttäjille. 

Eettisinä hakkereina meillä on velvollisuus ilmoittaa yritykselle, kun havaitsemme puutteita niiden verkkoturvassa. Tämä pätee erityisesti silloin, kun yritysten tietosuojarikkomus sisältää tällaisia ​​yksityisiä tietoja.

Nämä etiikat tarkoittavat kuitenkin myös vastuun kantamista yleisölle. TrueDialog-käyttäjien on oltava tietoisia tietosuojavirheistä, jotka vaikuttavat myös heihin.

Tietoa meistä ja aiemmat raportit

vpnMentor on maailman suurin VPN-tarkistussivusto. Tutkimuslaboratoriomme on pro bono -palvelu, joka pyrkii auttamaan verkkoyhteisöä puolustautumaan verkkouhkilta ja kouluttamalla organisaatioita käyttäjiensä tietojen suojaamiseen.. 

Aikaisemmin olemme havainneet valtavan tietosuojarikkomuksen, joka paljasti miljoonien Ecuadorean kansalaisten tiedot. Paljasimme myös, että rikkomus Biostar 2: ssa vaaransi yli miljoonan ihmisen biometriset tiedot. Voit myös lukea VPN: n vuotoraportin ja tietosuojatilastomme.

Brayan Jackson Administrator
Candidate of Science in Informatics. VPN Configuration Wizard. Has been using the VPN for 5 years. Works as a specialist in a company setting up the Internet.
follow me