A CenturyLink ügyféladatai online vannak feltárva, 2,8 millió rekord szivárog

A CenturyLink adat szivárgás.

A CenturyLink több százezres ügyfelekre vonatkozó érzékeny információkat tartalmazó, 2,8 millió nyilvántartást tartalmazó adatbázist online nyitva hagyták, bárki számára, aki rendelkezik internet-hozzáféréssel. Az adatbázist alkotó rekordok a CenturyLink által használt harmadik felek értesítési platformjának naplói. Több személyes információt tartalmaztak, beleértve a nevet, az e-mail címet, a telefonszámot és a címet, valamint a fiókspecifikus információkat.

A CenturyLink egy Fortune 500 technológiai vállalat, amely lakossági, üzleti és vállalati ügyfelek számára különféle termékeket és szolgáltatásokat kínál, beleértve az internetet, a telefont, a kábel TV-t, a felhőmegoldásokat és a biztonságot..

A Comparitech felfedezte a feltárt MongoDB adatbázist, Bob Diachenko biztonsági kutatóval együttműködve. A felfedezésre szeptember 15-én került sor, és Diachenko azon a napon értesítette a CenturyLink-t, de az adatbázis rendelkezik már hónapok óta ki vannak téve addigra. Szeptember 17-től bezárták.

Miután figyelmeztette a CenturyLink-et, és időt hagytak számukra a probléma megoldására, felkérték, hogy tegyük fel a jelentés közzétételét. Ennek célja, hogy a CenturyLink számára időt biztosítson belső vizsgálat elvégzésére, és az ügyet az FCC-hez utalja, mielőtt ügyfeleiket értesítik.

Az adatbázis API naplókat tartalmazott vevői adatokkal, és összesen több mint 2,8 millió rekordot tartalmazott. Mivel egyes ügyfelek több nyilvántartás alá tartoztak, az érintett ügyfelek becsült száma sokkal alacsonyabb, de még százezrekben is.

A CenturyLink a következő nyilatkozatot adott a Comparitech-nek:

A helyzet felismerése óta azon dolgozunk, hogy megerősítsük, hogy a biztonsági kérdés megoldásra került, és az esemény alapos kivizsgálását végezzük. Az érintett adatok elsősorban elérhetőségi adatoknak tűnnek, és nincs okunk feltételezni, hogy bármilyen pénzügyi vagy egyéb érzékeny információ veszélybe került. A CenturyLink jelenleg kommunikál az érintett ügyfelekkel. Folytatjuk az ügyfélinformációk védelmét. A CenturyLink komolyan veszi ügyfeleink információinak védelmét, és azon fogunk dolgozni, hogy ügyfeleink bizalmát megszerezzük.

Az adatszivárgás ütemterve

A MongoDB adatbázist nyilvánosan elérhetővé tették, így annak eléréséhez nincs szükség hitelesítésre. Íme, amit megfigyeltünk:

  • 2018. november 17 .: Az adatbázist először Shodan-on indexálták.
  • 2019. szeptember 15 .: Bob Diachenko biztonsági kutató fedezte fel a feltárt adatbázist. Azonnal felvette a kapcsolatot a CenturyLink-rel.
  • 2019. szeptember 17 .: Az adatbázist bezárták.
  • 2019. október 17 .: Értesítést kaptunk arról, hogy az FCC vizsgálata lezárult

Úgy tűnik, hogy az adatbázist körülbelül 10 hónapig tettek közzé, mielőtt bezárták volna a nyilvánosság előtt.

A CenturyLink adat szivárgás Shodan indexelés.

Ez több rossz időt adott volna a rosszindulatú feleknek az adatok különböző rendszerekben történő felhasználására.

Milyen információ volt kitéve?

A kitett MongoDB-t harmadik fél gyártójához kapcsolták. Ez egy többcsatornás értesítési platform volt a belső és külső kommunikációhoz, például az ügyfelek, a technikusok és az ügynökök között.

A feltárt adatok típusa az említett kommunikációk API-naplói voltak. Az ügyfelek nyilvántartása egyszerű szövegben (nem titkosítva) volt, és a következő adatokat tartalmazta:

  • Név
  • Email cím
  • Telefonszám
  • Valódi cím
  • CenturyLink számlaszám
  • Értesítési naplók
  • Beszélgetési naplók

A CenturyLink adatszivárgási adatbázis-minta.

Egyéb adatok között szerepelt információ arról, hogy a CenturyLink mely szolgáltatásokra előfizettek minden ügyfél, például szélessávú vagy otthoni biztonságot. Nem világos, hogy a vizsgált személy lakossági vagy üzleti ügyfelek volt-e, de a címek alapján úgy tűnik, hogy a legtöbb, ha nem mindegyik lakossági.

Az adatok expozíciójának veszélyei a CenturyLink ügyfelek számára

Az adatbázisban feltárt személyes adatok nem tekinthetők rendkívül érzékeny jellegűnek. Például nincs banki információ vagy társadalombiztosítási szám. Mindazonáltal egy olyan információkészlet, mint például a személy neve, e-mail címe, telefonszáma és levelezési címe, nagyon értékes lehet a bűnözők számára.

A CenturyLink ügyfeleinek figyelnie kell célzott adathalász rendszerek és a kapcsolódó csalások, amelyeket e-mailben, telefonon vagy akár e-mailben is el lehet végezni. Tudva, hogy Ön CenturyLink ügyfél, és különösen, hogy mely szolgáltatásokat előfizette, a csaló meggyőzően vállalkozási képviselőként jelentkezhet, hogy megkísérelje Önt további információk, például fiókja jelszavának vagy hitelkártya számának átadására..

A számlákra vonatkozó információk a felszínen meglehetősen ártalmatlannak tűnnek. Tekintettel azonban arra, mennyi ideig tárolták az adatbázist, lehetséges, hogy a rosszindulatú feleknek lehetősége nyílt az egyes ügyfelek nyomon követésére az idő múlásával. A naplókban szereplő információk akár fizikai bűncselekmények elõsegítésében is segíthetnek. Például, ha tudomásul veszi, hogy egy technikus látogatást tervez, a bűnöző számára lehetőséget adhat arra, hogy megpróbáljon belépni egy személy otthonába.

A CenturyLinkről

A CenturyLink az Egyesült Államok hatodik legnagyobb szélessávú internetszolgáltatója, körülbelül 4,8 millió előfizetővel 2019 első negyedévében..

A CenturyLink kiemelkedő profilú cég, és évek óta kínál termékeket és szolgáltatásokat mind lakossági, mind üzleti ügyfelek számára. Értékesíti többek között internetes, telefon- és TV-csomagokat, valamint biztonsági és felhőalapú megoldásokat.

A vállalat termékeinek és szolgáltatásainak jellege miatt sok ügyfél rendelkezik otthonukban vagy üzlethelyiségével a CenturyLink hardverrel, például internet modemekkel és biztonsági eszközökkel.

Az adatbázis tartalma azt jelzi, hogy a CenturyLink harmadik féltől származó beszállítót használt a kommunikációhoz az ügyfelekkel, technikusokkal és a társaság többi tagjával és között.

Ez nem az első alkalom, hogy a CenturyLink személyi adatokkal járó szivárgásban vesz részt. 2018 márciusában csoportos kereset indult a társaság ellen (a DirecTV-vel együtt) egy olyan fogyasztói csoport részéről, akik felfedezték, hogy személyes adataik szabadon elérhetők online.

Az ügyet kezdeményező felperes internetes keresést végez a telefonszámán, és felfedezte a CenturyLink és a DirecTV szolgáltatáscsomag számlájának nyilvánosan elérhető példányát. Megjelenítette a nevét, címét, telefonszámát és egyéb információkat. Körülbelül 1000 további ügyfelet vontak be a rendezésbe abban az évben később.

Hogyan és miért fedeztük fel a szivárgást

A Comparitechnél folyamatos biztonsági kutatásokat végezünk, ideértve az internet szkennelését, hogy felfedjük az olyan adatbázisokat, amelyek akaratlanul hozzáférhetetlenek jogosulatlan személyek számára. Ezután a lehető leggyorsabban cselekszünk, hogy minimalizáljuk az érintett végfelhasználókat érintő potenciális kockázatot.

Bob Diachenko sokéves tapasztalattal rendelkezik a kiberbiztonság területén, és hatalmas tudását használja fel a szivárgások és a szabálysértések feltárására, valamint az ehhez kapcsolódó információk elemzésére. Miután felfedezte a kiszivárgott információkat, megtudja azok tulajdonosát, és értesíti a felelős szervezetet az adatok biztonságának biztosítása érdekében..

Ezután egy lépéssel tovább megyünk, és megvizsgáljuk a kiszivárogtatott adatok összetételét, és hogy ki vonatkozik rá. Összefoglaljuk megállapításainkat egy ilyen jelentésben, hogy segítsük az érintettek értesítését. Az ilyen példákról szóló szó terjesztésével reméljük, hogy az érintett szervezetek és felhasználók lépéseket tehetnek az adatokhoz való hozzáférés és a rosszindulatú felek általi visszaélés korlátozása érdekében.

Korábbi jelentések

Ez csak egy a szivárgások és megsértések sorozatában, amelyeket a Comparitech és a Diachenko fedeztek fel. Itt van néhány más, amellyel dolgoztunk:

  • A 700k Choice Hotels ügyfélrekordjai kiszivárogtak
  • 7 millió diákrekord, amelyeket a K12.com tár fel
  • Az interneten 188 millió ember részletes személyes nyilvántartása volt
  • A tőzsdei jegyzett pénznemű kiskereskedő, a QuickBit több mint 300 000 lemezt tár ki
  • 5 millió személyes nyilvántartás, amely a MedicareSupplement.com tulajdonában van
Brayan Jackson
Brayan Jackson Administrator
Sorry! The Author has not filled his profile.
follow me

About the author

Leave a Reply

Your email address will not be published. Required fields are marked *

35 + = 42

Adblock
detector