Ulat: Ang Mga Gumagamit ng Internet sa Internet ng Internet ay Malantad sa Malaking Data Tumagas


Sa pangunguna ng analyst ng cybersecurity Noam Rotem at Ran Locar, natuklasan ang koponan ng pananaliksik ng vpnMentor isang paglabag sa data sa isang database na kabilang sa South Africa na kumpanya ng ICT, Conor. Ang nasira database na nilalaman araw-araw na mga tala ng aktibidad ng gumagamit sa pamamagitan ng mga customer ng mga ISP gamit ang software ng pagsala ng web na binuo ni Conor. Inilantad nito ang lahat ng trapiko sa internet at aktibidad ng mga gumagamit na ito, kasama ang kanilang data sa PII. Kasama dito lubos na sensitibo at pribadong aktibidad, kabilang ang pornograpiya, Hindi lamang inilantad ni Conor ang mga gumagamit sa kahihiyan sa pamamagitan ng pagsisiwalat ng nasabing aktibidad sa pag-browse, kundi pati na rin sila nakompromiso ang privacy at seguridad ng mga tao sa maraming mga bansa.

Profile ng Kumpanya ng Conor

Batay sa South Africa, Ang Conor ay isang kumpanya ng impormasyon sa teknolohiya at komunikasyon (ICT) na bubuo ng mga produktong software para sa mga kliyente sa Africa at South America. Lumilikha sila ng isang hanay ng mga solusyon para sa mga negosyo sa maraming industriya, kabilang ang pananalapi, mobile internet, SME, at monetization ng data. Ipinagmamalaki ni Conor ang 80 milyong mga mobile na subscriber sa kanilang mga produkto, kasama ang ilang mga kliyente na may mataas na profile, kabilang ang Vodafone at Telkom.

Timeline ng Discovery at May-ari ng Reaksyon

Minsan, ang lawak ng isang paglabag sa data at ang may-ari ng data ay halata, at mabilis na nalutas ang isyu. Ngunit bihira ang mga oras na ito. Kadalasan, kailangan natin ng mga araw ng pagsisiyasat bago natin maunawaan kung ano ang nasa panganib o kung sino ang tumutulo ng data. Ang pag-unawa sa isang paglabag at ang potensyal na epekto nito ay nangangailangan ng maingat na pansin at oras. Nagsusumikap kaming mag-publish ng tumpak at mapagkakatiwalaang mga ulat, tinitiyak ang lahat ng bumabasa sa kanila ay nauunawaan ang kanilang pagiging seryoso. Ang ilan sa mga apektadong partido ay itinanggi ang mga katotohanan, binabalewala ang aming pananaliksik o nilalaro ang epekto nito. Kaya, kailangan nating maging masinsinan at tiyakin na ang lahat ng ating nahanap ay tama at totoo. Sa kasong ito, kinuha ng web scanner ng aming koponan ang database noong ika-12 ng Nobyembre. Malinaw na ang database ay naglalaman ng isang malaking halaga ng data mula sa maraming iba’t ibang mga mapagkukunan, sa iba’t ibang mga bansa. Gayunpaman, ang pag-andar ng database ay hindi malinaw sa una, o ang kaugnayan nito sa iba’t ibang mga ISP at Conor. Ang database ay nasuri muli at mas mahusay na nauunawaan, kasama ang koneksyon nito sa isang web filter app na binuo ni Conor. Pagkatapos ay umabot kami sa kumpanya upang mag-alok ng aming tulong.

Halimbawa ng Mga Entries sa Database

Sinabi ni Conor sa kanilang patakaran sa privacy, patungkol sa seguridad ng data: Pinahahalagahan namin ang iyong tiwala sa pagbibigay sa amin ng iyong Personal na Impormasyon, sa gayon kami ay nagsisikap na gumamit ng natatanggap na komersyal na paraan para maprotektahan ito. Ngunit tandaan na walang paraan ng paghahatid sa internet, o pamamaraan ng imbakan ng elektronikong 100% ligtas at maaasahan, at hindi natin masiguro ang ganap na seguridad nito. Batay sa natuklasan ng aming koponan sa database na ito, ang paraan na tinatanggap ng komersyo ay hindi sapat upang itago ang data ng pribadong gumagamit na ito. Ang aming koponan ay nag-access sa database na ito dahil ito ay ganap na hindi naka-secure at hindi nai-encrypt. Tiningnan namin ang patuloy na pag-update mga tala ng aktibidad ng gumagamit para sa huling 2 buwan mula sa mga customer ng maraming mga ISP na nakabase sa mga bansa sa Africa at South American. Sa kabuuan, nagresulta ito sa 890+ GB ng data at higit sa 1 milyong mga talaan. Ang database ay kabilang sa isang pagmamay-ari ng software na binuo ni Conor, sa halip na ang mga ISP mismo. Ang software ay tila isang Binuo ng web filter para sa mga kliyente ng ISP na higpitan ang pag-access sa ilang mga website at uri ng online na nilalaman. Natagpuan namin ang mga entry mula sa mga gumagamit na tumitingin ng porn halimbawa, pati na rin ang kanilang mga social media account. Bukod sa mga website na binisita, pinayagan nito ang aming koponan na tingnan ang isang hanay ng mga pribadong data ng personal na gumagamit tuwing may nag-log sa system. Kasama dito:

  • Ang mga pangalan ng index: nagpapahintulot sa madaling pagkilala sa pang-araw-araw na aktibidad
  • MSISDN: isang code na kinikilala ang isang gumagamit ng mobile phone sa loob ng network ng kanilang provider, sa pamamagitan ng kanilang numero ng telepono
  • IP address
  • Tagal ng koneksyon o pagbisita sa isang website
  • Ang dami ng data (sa mga bait) ay inilipat bawat session
  • Buong URL ng website
  • Kung ang isang website ay na-block ng filter o hindi

Ang ilan sa mga ito ay makikita sa mga sumusunod na halimbawa:

Dahil ang database ay nagbigay ng access sa isang kumpletong talaan ng aktibidad ng bawat gumagamit sa isang session, nakita ng aming koponan ang bawat website na kanilang binisita – o tinangka na bisitahin. Maaari rin naming makilala ang bawat gumagamit. Ang pagba-browse sa internet ng isang tao ay palaging personal at inaasahan na maging pribado. Gayunpaman, hindi iyon ang nangyari sa pagkakataong ito. Sa sumusunod na halimbawa, nakita ng aming koponan ang aktibidad ng isang gumagamit sa isang porn website. Ito ay isang karaniwang pangyayari sa mga entry sa buong database, ikompromiso ang privacy ng mga apektadong gumagamit sa pinaka-intimate na paraan.

Sa isa pang halimbawa, sa sumusunod na tala, ang isang username ay malinaw na nakikita. Sa mabilis na paghahanap sa Facebook, nahanap namin ang personal na profile ng taong ito, kasama ang karagdagang mga personal na impormasyon na isiniwalat sa kanilang bio.

Nakita ng aming koponan ang mga entry sa data mula sa maraming mobile ISP, tulad ng Tshimedzwa Cellular at Flickswitch sa South Africa, MTN sa Kenya, at iba pa. Nagkaroon din mga entry mula sa mga bansa sa South American, tulad ng sumusunod na halimbawa mula sa Bolivia:

Kilala rin sa database ang mga app na ginagamit, halimbawa:

  • iCloud
  • Mga Google app (Mga Mapa, Account, atbp)
  • Mga aplikasyon ng Microsoft (Outlook)
  • Facebook
  • Whatsapp

Makikita ito sa susunod na dalawang halimbawa ng mga snippet ng code ng code:

Epekto ng Data Breach

Ang isang paglabag sa data ng laki at kalikasan na ito – naglalantad ng maraming data sa aktibidad at pagkakakilanlan ng gumagamit – ay malubhang implikasyon para sa lahat ng kasangkot.

Mga Solusyon sa Conor

Para sa isang kumpanya ng pagpapaunlad ng ICT at software na hindi protektahan ang data na ito ay hindi mapaniniwalaan o kapani-paniwala. Ang lipas ni Conor sa seguridad ng data ay maaaring lumikha ng mga tunay na problema sa mundo para sa mga taong nakalantad. Habang si Conor ay hindi masusugatan sa pag-atake o pandaraya, maaari silang magdusa ng makabuluhang pinsala sa reputasyon at pagkawala ng tiwala sa loob ng kanilang industriya. Ang iba pang mga negosyo sa ICT ay maaaring mag-atubili sa kontrata ng Conor sa hinaharap, habang ang kasalukuyang mga kliyente ay maaaring humiling ng aksyon o kabayaran mula sa kanila. Ang paglabag sa database din nakalantad kung paano nagtrabaho ang web filter at ang mga patakaran nito sa pagharang ng nilalaman. Maaaring gamitin ng mga tao ang kaalamang ito upang makaligtaan ang filter, ginagawa itong hindi epektibo at kalabisan. Parehong mga kinalabasan maaaring humantong sa pagkawala ng negosyo para sa Conor at mabawasan ang kita, mula sa pagkawala ng mga kliyente na hindi na nagtitiwala sa kanilang software o panukala sa halaga.

Mga Kliyente ng Conor

Habang binuo ni Conor ang web filtering software na naka-link sa database na ito, ito ay ang kanilang mga kliyente sa ISP na makakaranas ng karamihan sa negatibong reaksyon. Ang mga kostumer ng mga ISP ay nakompromiso sa leak na ito ay malamang na i-target ang mga ISP para sa pagpuna at kabayaran, na humahantong sa makabuluhang mga isyu sa reputasyon at tiwala para sa mga ISP din. Gayundin, maaari silang masugatan sa pagkawala ng negosyo o ligal na pagkilos. Ito rin ay malamang na ang mga ISP ay nag-anunsyo sa web filter software bilang isang panukala sa halaga sa mga customer at singilin ang mga ito para dito. Kung maaaring magamit ng mga tao ang nakalantad na database upang ma-bypass ang web filter, ang mga ISP ay magiging sa karagdagang pagkawala, ang kanilang alok ay hindi na isang epektibong tool sa advertising.

Mga customer ng mga apektadong ISP

Ang pinakamalaking panganib sa paglabag na ito ay sa mga tao na nakalantad ang data. Ang database ay naglalaman ng mga live na log ng trapiko ng lahat ng kanilang mga online na aktibidad, kasama ang PII ng mga gumagamit. Nangangahulugan ito na mayroong zero privacy para sa mga apektado. Ang tagas ay ginawa silang mahina laban sa isang malawak na hanay ng mga online na pag-atake at pandaraya. Maaaring magkaroon ito nagwawasak na mga epekto, sa personal at sa pananalapi. Gaya ng naunang nabanggit, hindi lamang ang aming koponan ay nakatingin sa online na aktibidad ng isang gumagamit ngunit kasama ang PII na isiniwalat sa database, natagpuan namin ang kanilang mga social media account. Ito ay kilala bilang doxing: gamit ang kilalang data tungkol sa isang tao upang matuklasan at ilantad ang kanilang pagkakakilanlan. Ang doxing ay madalas na ginagawa sa malisyosong hangarin, kasama ang nakalantad na tao na kasunod na na-target para sa pang-aapi at panliligalig. Sa pag-access sa kasaysayan ng pornograpiya ng isang tao, hackers at cybercriminals maaaring i-target ang mga ito para sa pang-aapi, o mas masahol pa, pang-aalipusta at pang-aapi. Maraming mga tao ang labis na napahiya sa kanilang kasaysayan sa paghahanap sa porno, at alam ito ng mga cybercriminals. Ni pagbabanta na ilantad ang aktibidad ng online porn ng isang biktima sa kanilang mga pamilya o mga kasamahan sa trabaho, Ang mga kriminal ay maaaring mang-agaw ng malaking halaga ng pera sa kanila. Sa kaso ng Venezuela, isang bansa na nagtatrabaho si Conor, ang ilegal ay porno. Bagaman hindi namin nakita ang anumang mga tala mula sa Venezuela, kung ang ISP ay ibunyag ang iligal na pag-browse sa porn ng isang customer, mas masusugatan pa sila.. Ang isang biktima ay maaaring maharap sa ligal na repercussions ng gobyerno, o mas matindi na pang-aapi at pang-aapi.

Payo mula sa mga Eksperto

Maaaring iwasan ni Conor ang leak na ito kung nagsagawa sila ng ilang mga pangunahing hakbang sa seguridad upang maprotektahan ang database. Kasama dito, ngunit hindi limitado sa:

  1. I-secure ang iyong mga server.
  2. Ipatupad ang wastong mga patakaran sa pag-access.
  3. Huwag mag-iwan ng system na hindi nangangailangan ng pagpapatunay na bukas sa internet.

Ang sinumang kumpanya ay maaaring magtiklop ng parehong mga hakbang, kahit na ang laki nito.

Para sa mga kliyente ng Conor

Inirerekumenda namin ang muling pagtatasa o pag-awdit sa iyong mga in-house data security at privacy protocol. Dapat mo ring lubusan gamutin ang anumang mga aplikasyon ng 3rd party na iyong pinatibay o mga kontratista na inuupahan mo upang matiyak na sinusunod nila ang napapanatiling kasanayan sa pinakamahusay na kasanayan sa data. Samantala, direktang makipag-ugnay kay Conor upang malaman kung paano nila nalutas ang data na ito na tumagas at kung anong mga hakbang ang kanilang gagawin upang matiyak na hindi ito mangyayari muli. Para sa isang mas malalim na gabay sa kung paano protektahan ang iyong negosyo, tingnan ang aming gabay sa pag-secure ng iyong website at online database mula sa mga hacker.

Para sa mga Customer ng mga apektadong ISP

Kung nababahala ka na nalantad ka sa data na ito na tumagas, makipag-ugnay sa iyong ISP upang malaman kung nakontrata na nila ang Conor na magtayo ng software para sa kanila sa nakaraan. Dapat silang magbigay sa iyo ng anumang impormasyon na may kaugnayan sa leak na ito at kung ikaw ay potensyal na nakalantad. Ang pinaka-epektibong aksyon na maaari mong gawin upang matiyak na kompromiso ka sa leak na ito, o anumang iba pa, ay ang pag-download ng isang VPN. Ang paglabag sa database ay naglalaman ng mga log ng lahat ng aktibidad sa internet ng isang gumagamit. Ang tanging paraan upang mapigilan ito mula sa muling mangyari ay sa isang VPN. Ang pagkonekta sa internet sa pamamagitan ng isang VPN ay naka-encrypt ng iyong data at itinago ang iyong aktibidad, kahit na mula sa iyong ISP. Itinatago din nito ang iyong lokasyon at IP address, kaya ang mga hacker ay halos walang pagtukoy ng impormasyon tungkol sa iyo. Nangangahulugan ito na kahit na ang iyong ISP o anumang iba pang partido ay tumutulo sa data ng kanilang mga customer, maitatago ka pa rin at ligtas mula sa mga hacker at cybercriminals. Kung nag-aalala ka tungkol sa seguridad ng data at kahinaan, basahin ang aming kumpletong gabay sa online privacy. Ipinapakita nito sa iyo ang maraming mga paraan ng target ng mga cybercriminals na gumagamit ng internet, at ang mga hakbang na maaari mong gawin upang manatiling ligtas.

Paano at Bakit Natuklasan Natin ang Paglabag

Natuklasan ng koponan ng pananaliksik ng vpnMentor ang paglabag sa mga database ng Conor bilang bahagi ng isang malaking proyekto sa pagmamapa sa web. Ginagamit ng aming mga mananaliksik ang pag-scan ng port upang suriin ang mga partikular na mga bloke ng IP at subukan ang mga bukas na butas sa mga system para sa mga kahinaan. Sinusuri nila ang bawat butas para sa data na naihayag. Kapag nahanap nila ang isang paglabag sa data, gumagamit sila ng mga diskarte sa dalubhasa upang mapatunayan ang pagkakakilanlan ng database. Pagkatapos ay alerto namin ang kumpanya sa paglabag. Kung maaari, alerto din namin ang mga apektado ng paglabag. Ang aming koponan ay nag-access sa database na ito dahil ito ay ganap na hindi naka-secure at hindi nai-encrypt. Gumagamit si Conor ng isang database ng Elasticsearch, na karaniwang hindi idinisenyo para sa paggamit ng URL. Gayunpaman, nagawa naming ma-access ito sa pamamagitan ng browser at manipulahin ang mga pamantayan sa paghahanap ng URL sa paglalantad ng schemata ng database. Ang layunin ng proyektong ito sa pagmamapa sa web ay makakatulong upang gawing mas ligtas ang internet para sa lahat ng mga gumagamit. Bilang etikal na hacker, obligado kaming ipaalam sa isang kumpanya kapag natuklasan namin ang mga kapintasan sa kanilang online security. Ito ay totoo lalo na kung ang paglabag ng data ng mga kumpanya ay naglalaman ng napakaraming pribado at mahalagang impormasyon ng gumagamit. Gayunpaman, ang mga etika na ito ay nangangahulugang nagdadala tayo ng isang responsibilidad sa publiko. Ang mga gumagamit ng software ng Conor ay dapat ding magkaroon ng kamalayan ng isang paglabag sa data na nakakaapekto sa kanila.

Tungkol sa Amin at Nakaraang Mga Ulat

vpnMentor ay ang pinakamalaking website ng pagsusuri sa VPN sa buong mundo. Ang aming lab na pananaliksik ay isang serbisyong pro bono na nagsusumikap na tulungan ang online na komunidad na ipagtanggol ang sarili laban sa mga banta sa cyber habang ang pagtuturo ng mga organisasyon sa pagprotekta ng data ng kanilang mga gumagamit. Noong nakaraan, natuklasan namin ang isang malaking paglabag sa data na naglalantad ng data ng milyun-milyong mamamayan ng Ecuadorean. Inihayag din namin na ang isang paglabag sa Biostar 2 ay nakompromiso ang data ng biometric na higit sa 1 milyong katao. Maaari mo ring basahin ang aming VPN Leak Report at Data Privacy Stats Report.

Kim Martin Administrator
Sorry! The Author has not filled his profile.
follow me
    Like this post? Please share to your friends:
    Adblock
    detector
    map