به رهبری نوام روتم و ران لوکار ، تیم تحقیقاتی vpnMentor یک تخلف را در یک بانک اطلاعاتی متعلق به Autoclerk ، یک سیستم مدیریت رزرو متعلق به گروه بهترین وسترن ها و اقامتگاههای غربی کشف کرد.
چند هفته قبل از کشف تیم نشت ، اتوکلرک توسط Best Western Hotel & Resorts مورد استفاده قرار گرفت و به سیستم عامل های مختلف سفر و مسافرت های مرتبط با آن متصل شد. گروه ، به طور بالقوه در معرض یکی از بزرگترین هتل های زنجیره ای جهان است.
نشت داده های شخصی حساس کاربران و میهمانان هتل ، را در معرض دید کلی از هتل و مسافرت خود قرار داد. در بعضی موارد ، این شامل زمان ثبت نام و شماره اتاق آنها بود. این جمعیت بر [هزار] 19000 نفر در سراسر جهان ، مبتلا شد و روزانه میلیون ها رکورد جدید اضافه می شود.
شگفت آور ترین قربانی از این نشت شخص یا شرکت نبود. این دولت ، دولت و ارتش ایالات متحده ایالات متحده (DHS) بود. تیم ما داده های بسیار حساس را در معرض نمایش مشخصات شخصی نیروهای نظامی و نظامی ، و ترتیب سفر آنها به نقاط مختلف جهان ، گذشته و آینده مشاهده کرد.
این نشان دهنده نقض گسترده امنیتی بود. برای دولت آژانس ها و دپارتمان ها را تحت تأثیر قرار داده است.
Timeline of Discovery and Reaction Owner
بعضی اوقات ، میزان نقض داده ها و صاحب اطلاعات آشکار است و مسئله به سرعت حل می شود. اما این اوقات نادر است. بیشتر اوقات ، ما به روزهای تحقیق نیاز داریم تا بدانیم چه چیزی در معرض خطر است یا چه کسی اطلاعات را فاش می کند.
درک یک نقض و آنچه در معرض خطر است ، دقت و زمان زیادی را به آن توجه می کند. برخی از طرف های تحت تأثیر ، واقعیت ها را نادیده می گیرند ، بی اعتنایی به تحقیقات ما یا تأثیرگذاری بر آن. ما باید کاملاً دقیق باشیم و اطمینان حاصل کنیم که همه چیزهایی که می یابیم صحیح و درست است.
ما در انتشار گزارش های دقیق و قابل اعتماد ، ، بسیار سخت کار می کنیم ، تا اطمینان حاصل کنیم که هر کسی که آنها را می خواند ، جدیت خود را می داند
در این مورد ، با توجه به تعداد نقاط مبداء خارجی و اندازه کامل داده های در معرض ، مالک دیتابیس برای مدتی مشخص نبود ، اما ما گمان می کردیم متعلق به آن باشد. به Autoclerk به چند دلیل .
در همین حال ، ما با تیم آمادگی اضطراری رایانه ایالات متحده (CERT) تماس گرفته ایم. ما ماهیت نشت را بیان کردیم ، و داده های دولت ، ارتش و DHS را که در معرض دید آنها بود قرار دادیم. با این حال ، در زمان انتشار ، آنها به ایمیل ما پاسخ نداده اند ، نگرانی های ما را نادیده گرفتند.
- 13 سپتامبر: پایگاه داده کشف شد
- 13 سپتامبر: CERT با ایالات متحده تماس گرفت ، بدون پاسخ
- 19 سپتامبر: سفارت ایالات متحده در تل آویو در مورد عدم پاسخ CERT
- 26 سپتامبر: تماس با نماینده پنتاگون ، که تضمین کننده این مسئله است ، با
- 2 اکتبر رسیدگی می شود: بانک اطلاعاتی بسته شده
نمونه هایی از ورود به پایگاه داده
بانک اطلاعاتی ] میزبانی شده توسط وب سرورهای آمازون در ایالات متحده ، حاوی بیش از 179 گیگابایت داده. بخش عمده ای از داده های موجود از سیستم عاملهای مسافرتی و مهمان نوازی خارجی با استفاده از سکوی مالک پایگاه داده برای تعامل با یکدیگر سرچشمه گرفته است.
مشتری سیستم عامل های تحت تأثیر شامل سیستم های مدیریت املاک (PMS) ، موتورهای رزرو و خدمات داده در صنایع گردشگری و مهمان نوازی هستند.
سکوی مسافرتی و مهمان نوازی تحت تأثیر
Autoclerk رزرواسیون ترکیبی است. ساقه برای هتل ها ، ارائه دهندگان اقامت ، آژانس های مسافرتی و موارد دیگر. ویژگی های آن شامل سیستم های مدیریت املاک مبتنی بر سرور و ابر (PMS) ، موتور رزرو وب ، سیستم های رزرو مرکزی و رابط های هتل PMS است. به همین دلیل ، بانک اطلاعاتی که تیم ما پیدا کرده است ، به هتل ها و سیستم عامل های مسافرتی بی سیم متصل شده است.
برخی از نمونه سیستم عامل های مشتری خارجی که به دلیل نشت به خطر افتاده اند ، عبارتند از:
در حالی که این سیستم عامل ها بیشتر در ایالات متحده مستقر هستند ، کاربران در معرض نشت در سراسر جهان هستند. تیم ما بسیاری از اعتبار ورود به سیستم را رمزگذاری نشده برای دسترسی به حساب های سیستم های اضافی خارجی از پایگاه داده ، مانند سیستم عامل های جداگانه PMS ، رتبه بندی مهمان ها و سیستم های بررسی ، و موارد دیگر مشاهده کرد.
اطلاعات شخصی و مسافرتی در معرض نمایش قرار گرفت
از آنجا که سیستم عامل هایی که در این نشت در معرض دید قرار گرفته اند ، به مسافرت و میهمان نوازی متمرکز شده اند ، این پایگاه داده شامل 100000 هزار رزرو رزرو برای میهمانان و مسافران بود. این بدان معناست که اطلاعات شخصی مهمانان در اسکان با استفاده از یک سکوی آسیب دیده نیز در معرض دید قرار گرفته است.
اطلاعات افرادی که رزرو خود را در معرض دید قرار می دهند شامل موارد زیر است:
- نام کامل
- تاریخ تولد
- آدرس
- شماره تلفن
- تاریخ ها و هزینه های سفر
- جزئیات کارت اعتباری نقاب شده
در مورد رزروهای خاص ، هنگامی که یک مهمان به یک هتل مراجعه کرده بود ، زمان ثبت نام و شماره اتاق آنها نیز قابل مشاهده بود. پایگاه داده.
تمام این اطلاعات برای هکرهای جنایی و سارقان آنلاین بطور باورنکردنی ارزشمند است.
اطلاعات دولت ایالات متحده
آسیب پذیری هایی که ما در بالا توضیح دادیم برای شرکت های عادی و شهروندان خصوصی تحت تأثیر قرار خواهد گرفت.
برای دولت ایالات متحده ، زنگ های زنگ دار باید زنگ بزنند.
یکی از سیستم عامل های موجود در پایگاه داده ، پیمانکار دولت ، ارتش و DHS ایالات متحده بود. پیمانکار ترتیب سفرهای دولت و نظامیان آمریكا ، و همچنین پیمانكاران مستقل كه با آژانس های دفاعی و امنیتی آمریكا كار می كنند را مدیریت می كند.
اطلاعات در مورد اطلاعات شخصی شناسایی شده (PII) پرسنل و ترتیب سفر آنها. تیم ما گزارش های مربوط به ژنرال های ارتش ایالات متحده را که به مسکو ، تل آویو ، و بسیاری مقصد دیگر سفر می کردند ، مشاهده کردند. ما همچنین آدرس ایمیل ، شماره تلفن ها و دیگر داده های شخصی حساس را پیدا کردیم.
این یک نقص بزرگ در دستگاه امنیت داده پیرامون چنین اطلاعات حساس را نشان می دهد. هر شرکتی که مربوط به لجستیک مسافرتی نظامیان سطح بالا است باید به سخت ترین روش های محافظت از داده ها رعایت کند.
با انجام این کار ، صاحب این بانک اطلاعاتی اطلاعات زیادی را درمورد مشتری های دولتی و نظامی نشان داد.
پایگاه داده در معرض دغدغه همه طرف های آسیب دیده. از میهمانان در هتل هایی که از سیستم عامل های تحت تأثیر استفاده می کنند تا کارمندان ارشد دولت ایالات متحده ، که پرسنل آنها به خطر بیفتد ، همه در معرض حمله و استثمار قرار دارند.
Data Breach Impact
هکرها می توانند از داده های در معرض نمایش استفاده کنند تا کلاهبرداری های پیچیده ای را ایجاد کنید هدف قرار دادن مشاغل آسیب دیده ، مهمانان آنها و دولت ایالات متحده.
تأثیر در مهمانان هتل
Fraud & Phishing Campaign
] ترکیبی از رزرو رزرو مهمانان و داده های شخصی ،
سپس آنها می توانند میهمانان هتل را هدف قرار دهند تا اطلاعات بیشتری مانند جزئیات حساب مالی یا کلمات عبور حساس را استخراج کنند. اینها می توانند برای سرقت از قربانیان ، جاسازی نرم افزارهای مخرب و انواع دیگر حمله ، اخاذی پول یا سرقت هویت آنها استفاده شوند.
داده های در معرض ماین طلایی مبارزات فیشینگ. یک کمپین فیشینگ از ایمیل های جعلی استفاده می کند که از مشاغل واقعی تقلید می کند تا قربانیان را در ارائه گذرواژه ، جزئیات کارت اعتباری یا جاسازی نرم افزارهای مخرب روی یک دستگاه قرار دهد. ایمیل های متقاعد کننده را به راحتی فریب دهید. این تأثیرات می تواند ویرانگر باشد ، هم از نظر مالی و هم از نظر مالی.
خطرات فیزیکی
با اطلاعات دقیق در مورد اقامت در هتل ، هکرها دقیقاً می دانند که میهمانان هتل ها با استفاده از PMS و سیستم عامل های رزرو شده در آن فعال هستند. تعطیلات ، به همراه آدرس خانه آنها.
آنها می توانند از این اطلاعات استفاده کنند تا را برای برنامه ریزی دزدی های خانگی با حداقل خطر [گرفتن] یا هدف قرار گرفتن آنها در خارج از کشور ، برنامه ریزی کنند.
علاوه بر این ، با شماره اتاق های هتل در معرض ، میهمانان می توانند در هنگام تعطیلات نیز هدف قرار گیرند. [19659006] تأثیر بر صاحب بانک اطلاعات و مشتریان
همان تقلب و تاکتیک های فیشینگ که در بالا توضیح داده شده است ، می تواند برای مشاغل تحت تأثیر این نشت ، با عواقب بسیار بیشتر نیز استفاده شود. این شامل Autoclerk است. کمپین های فیشینگ و حملات نرم افزارهای مخرب می توانند برای همه مشاغل ویران کننده باشند. آنها امنیت نه تنها تجارت ، بلکه کارمندان و مشتریان را نیز به خطر می اندازند. آسیب پذیری که تیم ما آن را کشف کرد ، صاحبان بانک اطلاعاتی ، بسیاری از سیستم عامل های متصل به آن و هتل هایی را که از آن سیستم عامل ها استفاده می کردند ، در معرض دید خود قرار داد. یک مهاجم می تواند از این نشت استفاده کند تا ببیند چگونه سیستم ها با هم تعامل دارند و دانش مهمی در مورد سرورهای خارجی کسب می کنند ، از جمله کلمه عبور برای حساب های دیگر سیستم عامل ها. هکرها و مجرمان سایبری می توانند از این اطلاعات برای برنامه ریزی [حملاتهدفمندعلیههمهطرفیندرمعرض، حتی بر روی سیستم های خارجی این پایگاه داده استفاده کنند. دامنه فعالیت های جنایی بالقوه عظیم است. بزرگترین خطر این نشت برای دولت و ارتش ایالات متحده بود. مقادیر قابل توجهی از داده های حساس كارمندان و نظامی اکنون می توانند در حوزه عمومی قرار بگیرند. این بینشی ارزشمندی از به عملکرد و فعالیت های دولت و پرسنل ارتش آمریكا می دهد . پیامدهای امنیت ملی برای دولت و ارتش ایالات متحده گسترده و جدی است. کارمندان دولت – به ویژه در ارتش – اهداف ارزشمندی برای هکرها ، جنایتکاران و دولت های رقیب ، به دلایل واضح هستند. در حالی که یک فعالیت فیشینگ یا شکل دیگری از حمله می تواند برای شهروندان و مشاغل خصوصی مشکل ساز باشد ، پیامدهای دولت یا ارتش بسیار سخت است ، امنیت ملی و امنیت فردی پرسنل آسیب دیده را به خطر می اندازد. از طریق یک اقدام ساده فیشینگ ، هکرهای روسی در سال 2018 به کمیته ملی دموکراتیک ایالات متحده دسترسی پیدا کردند. این نشت امنیت امنیتی پرسنل را نیز با دادن اطلاعات زنده درباره برنامه های سفرشان ، به خطر انداخته است ، درست . شماره اتاق هتل آنها . اگر این داده ها بارگیری شود ، می تواند بیشتر آسیب ببیند ، می تواند در Dark Web فروخته شود و تقریباً غیرقابل ردیابی شود. اگر صاحب پایگاه داده برخی اقدامات امنیتی اساسی را انجام داده باشد ، می توان از این نشت داده به راحتی اجتناب کرد . اینها را می توان توسط هر شرکتی ، صرف نظر از اندازه آن ، تکثیر کرد: راهنمای عمیق تر درباره چگونگی محافظت از مشاغل خود ، نحوه تأمین امنیت وب سایت و پایگاه داده آنلاین از هکرها را بررسی کنید. قبل از اتخاذ نرم افزار یا برنامه ها برای مدیریت بخشی از مشاغل خود ، اطمینان حاصل کنید که آنها بهترین روشهای امنیتی داده را دنبال می کنند. اگر پردازش داده های خارجی ، مانند میهمان هتل یا اعضای عمومی ، باید اطمینان حاصل کنید که این داده ها در برابر هکرها محافظت می شود. با به خطر انداختن داده های شخصی مشتریان می توانید عمده آسیب و اعتبار و اعتبار را در آینده ایجاد کنید. برای یک راهنمای جامع درباره نحوه محافظت از مشاغل آنلاین ، به نحوه تأمین وب سایت خود و پایگاه داده آنلاین از هکرها مراجعه کنید. اگر نگران هستید که داده های شما در این نشت به خطر بیافتد ، با هتلی که اخیراً در آنجا مانده اید ، برای تأیید تأثیرگذاری با آنها تماس بگیرید. آنها باید شما را از هرگونه اقدامی که برای حل مسئله انجام می دهند مطلع کنند. همچنین می توانید راهنمای ما برای حفظ حریم اینترنت را مطالعه کنید راهنمای کامل ما برای حفظ حریم خصوصی آنلاین . این روش های مختلفی را برای هدف قرار دادن مجرمان سایبری و مراحلی که می توانید برای ایمن ماندن نشان دهید ، به شما نشان می دهد. کلیه ارگان های دولتی ایالات متحده که تحت تأثیر این نشت قرار گرفته اند باید را بررسی کنند. مراحل بررسی آنها برای پیمانکاران شخص ثالث . هر شرکت خارجی که با داده های دولتی و نظامی سرو کار دارد باید از پروتکل های سختگیرانه امنیت داده ها پیروی کند و از عدم آسیب پذیری در نرم افزار مورد استفاده خود اطمینان حاصل کند. تیم تحقیقاتی vpnMentor این نقض را به عنوان بخشی از یک پروژه بزرگ نقشه برداری وب کشف کرد. هکرهای ما از اسکن پورت برای بررسی بلوک های خاص IP استفاده می کنند و سوراخ های باز سیستم را برای نقاط ضعف آزمایش می کنند. آنها هر سوراخ را برای فاش شدن داده ها بررسی می کنند. وقتی یک داده را نقض می کنند ، از تکنیک های تخصصی برای تأیید هویت بانک اطلاعات استفاده می کنند. سپس به مالک دیتابیس هشدار می دهیم که نقض کند. در صورت امکان ، ما به کسانی که تحت تأثیر این نقض قرار گرفته اند نیز هشدار می دهیم. تیم ما توانست به این پایگاه داده دسترسی پیدا کند زیرا کاملاً نا امن و رمزگذاری نشده است. با این حال ، در زمان نوشتن ، هویت صاحب آن تأیید نشده است. کسی که مالک دیتابیس مورد نظر است از یک پایگاه داده Elasticsearch ، استفاده می کند که معمولاً برای استفاده از URL طراحی نشده است. با این حال ، ما توانستیم از طریق مرورگر به آن دسترسی پیدا کنیم و معیارهای جستجوی URL را در معرض نمایش طرحواره ها از یک فهرست واحد در هر زمان دستکاری کنیم. هدف از این پروژه نقشه برداری وب کمک به اینترنت برای همه کاربران ایمن تر است. به عنوان هکرهای اخلاقی ، ما هنگام کشف اشکالات در امنیت آنلاین آنها ، ما موظفیم به یک شرکت یا مشتریان آنها اطلاع دهیم. این به ویژه هنگامی که نقض اطلاعات شرکت ها حاوی چنین اطلاعات حساسی در مورد دولت ، ارتش و سازمان های دفاعی یک کشور باشد صادق است. این اخلاق همچنین به معنای است که ما مسئولیتی را برعهده مردم می گذاریم ، که شایسته آن هستیم که از نقض این بزرگی و پیامدهای آن بر علایق آنها آگاه شویم. تأثیر بر دولت ایالات متحده
مشاوره از کارشناسان
برای بسترهای نرم افزاری تحت تأثیر
برای مهمانان هتلها تحت تأثیر قرار
دولت و ارتش ایالات متحده
چگونه و چرا ما نقض آن را کشف کردیم
درباره ما و گزارش های قبلی [19659107] vpnMentor بزرگترین وب سایت بررسی VPN در جهان است. آزمایشگاه تحقیقاتی ما یک سرویس طرفدار پاداش است که می کوشد به جامعه آنلاین کمک کند تا ضمن دفاع از اطلاعات کاربران ، از خود در برابر تهدیدات سایبری دفاع کند.
ما اخیراً نقض عظیمی از داده ها را کشف کردیم که روی [8050000] خانوار آمریکایی تأثیر گذاشت. ما همچنین فاش کردیم که نقض در بیوستار 2 داده های بیومتریک بیش از 1 میلیون نفر را به خطر انداخته است. همچنین ممکن است بخواهید گزارش گزارش نشت VPN و گزارش آمار حریم خصوصی داده ها را ما بخوانید.