Поделиться
Личные данные 50 млн граждан Китая выложили на общедоступный сервер
Общедоступный сервер, принадлежащий госорганам провинции Цзянсу, содержал не только личные данные миллионов людей, но и подробные сведения о миллионах коммерческих предприятий.
58+33
Эксперты по безопасности обнаружили общедоступный сервер с личными и деловыми данными более чем на 50 млн граждан Китая и 30 млн коммерческих компаний.
Сервер с незащищённой СУБД ElasticSearch принадлежит Министерству общественной безопасности провинции Цзянсу, располагающеся на восточном побережье КНР. Население провинции составляет 80 миллионов человек, из которых 55 миллионов проживают в городах. Это пятая по численности провинция Китая.
Открытую базу данных обнаружил эксперт по информационной безопасности Саньям Джаин (Sanyam Jain), участник GDI Project. Данные включали 26 ГБ персональных данных, в том числе имена, даты рождения, пол, номера идентификационных карт, координаты местоположения. Плюс к этому были представлены поля city_relations (город_отношения), city_open_id и province_open_id (городские и общерегиональные идентификаторы).
Информация о деловых предприятиях включала их идентификационные номера, сведения о типе предприятий, географические координаты, city_open_id и указания об отслеживании владельцев бизнеса.
Кроме этого, нашлась общедоступная (но хотя бы защищённая логином и паролем) административная консоль для управления Сетью общественной безопасности и незащищённая (и недонастроенная) СУБД Kibana, помогающая просматривать и анализировать собранные на незащищённом сервере данные.
В общей сложности базы содержали данные 58364777 индивидуальных граждан и 33708010 коммерческих компаний. Администрация провинции Цзянсу не отреагировала на сообщения экспертов о незащищённой базе, зато отреагировало управление по борьбе с компьютерными инцидентами (CNCERT/CC): база была удалена из общего доступа в выходные.
Эпидемия?
Ранее Саньям Джаин обнаружил аналогичную открытую базу ElasticSearch, принадлежавшую китайской же рекрутинговой фирме FMC Consulting. В ней обнаружились конфиденциальные записи о самой компании и миллионах её клиентов, позволяющие установить личность каждого из них.
Также за последние месяцы стало известно о незащищённых базах, содержавших миллионы резюме соискателей из Китая, информацию о миллионах ставок в онлайновых казино, конфиденциальные юридические документы и сведения о сотне миллионов граждан и коммерческих компаний США.
«В последнее время незащищённые БД привлекают всё больше внимания специалистов по информационной безопасности, а соответственно, растёт количество сообщений о том, что там-то и там-то найдены очередные открытые всем ветрам серверы с ElasticSearch, с которых «раздаются» данные о миллионах людей и предприятий, - говорит Анастасия Мельникова, эксперт по информационной безопасности компании SEC Consult Services. - От этого складывается ощущение какой-то эпидемии, но на деле это лишь вопрос повысившегося внимания к старой проблеме, которая вряд ли быстро решится, даже притом, что разработчики, например, ElasticSearch активно работают над улучшением безопасности своих разработок».
Поделиться
Короткая ссылка
