Бессмысленный и беспощадный русский BugBounty и новый смысл выражения «вычислю тебя по IP»
Сейчас я расскажу вам прекрасную историю, в которой выражение «я вычислю тебя по IP» приобретает реальный смысл, про бессмысленный и беспощадный российский bugbounty, отношение к персональным данным своих клиентов и бессмысленного регулятора, который вместо контроля за предыдущим, занимается ухудшением жизни жителей РФ (и которого в Прекрасной России Будущего не будет).
История началась около 11 лет назад, когда я изучал устройство сетей крупных операторов с помощью инструмента whois — смотрел распределение адресов для клиентов т.д.), и в одном российском сегменте интернета набрёл на такое, от чего потерял дар речи.
Аккуратно сдампил результаты whois по сетям этого оператора (десятки тысяч адресов), и это настолько меня шокировало, что я предпочёл об этом поскорее забыть.
Месяц назад мне написал один из читателей: смотри, что происходит. И тут я всё вспомнил, и охренел ещё сильнее — от того, что за ~11 лет ничего не поменялось.
Есть такой московский оператор — «Комкор», сейчас работает под торговой маркой Акадо-Телеком.
Среди их клиентов — физические лица, фирмы (много банков, объекты инфраструктуры города) в московской области — жители элитных посёлков (Рублёвка, Барвиха, Жуковка и т.д.).
Многие уже догадываются, о чём будет дальше, но всё равно не могут поверить.
Да, Комкор (Акадо) выкладывает персональные данные своих клиентов прямо в БД RIPE, которая доступна с помощью whois.
Там всё:
ФИО клиента (или название компании), адрес подключения, телефон клиента.
Вот их сети:
212.100.128.0/19
212.45.0.0/19
178.208.128.0/19
Вот элитного посёлка «Жуковка»:
Вот клиенты в Барвихе, включая местный Альфа-Банк:
А что это за Никита Сергеевич в посёлке Николина Гора пользуется услугами горе-провайдера, не известный ли кинорежиссёр? Ага, он:
«Какая-то невероятная дичь», — воскликните вы, и будете совершенно правы.
Давайте теперь посмотрим, как обстоит дело с защитой персданных клиентов-фирм и объектов инфраструктуры Москвы.
Вот IP-адреса объектов ДИТ Москвы — Департамента инфромационных технологий — к Акадо подключены сотни таких объектов. Это интернет для камер, телеметрии и других служебных устройств и пользователей:
Давайте поищем по ключевому слову «Bank».
Что же мы видим? Сотни банков подключены к Комкору, и любой человек на свете может узнать IP-адрес конкретного филиала, контакт технического специалиста, его ФИО и так далее:
Что должен сделать приличный человек, который осознал что все эти ~11 лет персданные клиентов большого оператора лежали в паблике?
Правильно, написать об этом в Комкор. Ну не знали же они, что делают всё это время, в самом деле — надо им об этом рассказать!
Что я и сделал:
Через 1 рабочий день я получил ответ от начальника ИБ — мол информацию получили и проверят (странная задержка в сутки при такой-то страшной дыре, но ладно):
Ещё через 5 дней я решил поинтересоваться результатами проверки информации:
на что мне ответили, что всё исправили:
Ого, думаю я, наконец-то в России стала повышаться ответственность компаний и рост культуры реакции на сообщения о дырах. Но решил всё же проверить: убрали персданные только из блока person и только из двух моих примеров в первом письме, но в блоке inetnum персданные остались даже в моих примерах, о чём я написал:
и получил очень странный ответ, что «принято решение» убрать персданные пользователей белых сетей (когда убрать?!), но поле inetnum они обязаны заполнять:
Да никто не спорит, что обязаны — но провайдеры записывают туда информацию о назначении сети, или, если это фирма — максимум, её название и юр. адрес (и даже это далеко не всегда, точнее — почти никогда), но никак не ФИО клиента-физлица.
На моё письмо от 24 октября с уточняющим вопросом никто не ответил:
И тут мои силы закончились — я перестал понимать, почему я должен уговаривать большую компанию с огромной ответственностью заставлять устранить такую страшную дыру. Я перестал понимать, почему эта переписка вообще должна была длиться больше двух писем, ведь каждому здравомыслящему человеку абсолютно очевидно, насколько это дико — персданные твоих клиентов в паблике. И я уже не говорю об ответственных лицах в компании, которые должны только и заниматься тем, что устранять эту страшную дыру.
Я очень не хотел писать этот пост — мне ответили, со мной общались вежливо, даже в музей пригласили :). Но это попытка сделать хорошую мину при плохой игре. Никаких действий по факту предпринято не было, сроки их тоже озвучены не были. Поэтому следующим шагом я должен перейти к информированию об этой опасной уязвимости общественность, чтобы они вывели себя из-под угрозы и перестали пользоваться оператором, который так относится к персданным своих клиентов.
А теперь — простым языком для людей, которые не поняли, что всё это значит.
Whois — это публичный инструмент, которым может воспользоваться каждый человек, чтобы получить информацию об IP-адресе или домене.
В нём содержится служебная информация о владельце домена или IP-адреса (в данном случае — провайдере).
По правилам организации RIPE, которая выдаёт IP-адреса, провайдер обязан содержать в актуальном виде информацию о назначении подсети IP-адресов (например, служебная или клиентская), контакты для связи (почта и телефон провайдера), и если провайдер выдаёт в аренду крупный блок адресов — информацию об арендаторе.
Но никакому провайдеру не приходит в голову указывать ФИО, адрес подключения и контакт физического лица, которому выдан 1 IP-адрес. Тоже самое — с юридическими лицами. В случае выдачи большого блока, максимум — указывается юрлицо, его контакт и юридический адрес. И то, так делают далеко не все провайдеры, и никаких санкций, конечно же, за это нет.
Не очень умные технические специалисты Комкора (ныне Акадо) в какой-то момент просто настроили автоматическую трансляцию информации из своей служебной базы клиентов (CRM) в базу данных RIPE, и таким образом персданные клиентов стали доступны для всех желающих.
Для оператора такая дыра — катастрофа дважды, потому что:
1) Собственно, песональные данные клиентов — в публичном доступе. Какое доверие может быть к такому оператору?
2) Твоих клиентов могут просто переманивать другие операторы, за полчаса просканировав все IP-адреса и собрав базу данных.
3) Можно узнать IP-адреса определённого клиента или устройства, очень несложно забить канал трафиком и выключить, таким образом, интернет у клиента.
В случае с ведомственными объектами, большое количество которых подключено к Акадо — это же прямая угроза безопасности города.
Этот пост прочитает много клиентов Акадо — вы, конечно, решайте сами, но я бы никогда не стал пользоваться услугами оператора, который выкладывает ваши персональные данные в паблик, и не убирает их в срочном порядке после приватного сообщения об этом.
И даже через 3 недели всё еще не убирает.
Такое поведение, конечно, абсолютно неприемлемо в 2018 году.
И в завершение, я хочу отдельно написать о Роскомнадзоре.
Это регулятор, под надзором которого оператор связи оказывается дважды — как оператор связи, и как оператор персональных данных.
Эти никчёмные и бесполезные дармоеды вместо ухудшения жизни всех жителей России и ежедневной блокировки до 10–15 IP-адресов нашего прокси для Telegram (вы представляете, там сидят специальные люди на зарплате, которые почти круглосуточно резолвят домен и добавляют актуальные IP-адреса в выгрузку — что может быть бессмысленнее), должны заниматься как раз пресечением таких вот историй.
Дорогие журналисты, которые будут звонить в Акадо — сделайте, пожалуйста, следующий звонок в Роскомнадзор и спросите, почему они не выполняют свою работу, а вместо этого занимаются ухудшением жизни граждан России.
Источник: https://medium.com/@itsorm/бессмысленный-и-беспощадный-русский-bigbounty-или-отношение-к-персональным-данным-из-двухтысячных-d9e0e8a7601e
Подробнее
ip 212.100.129.68 212.100.130.168 212.45.9.104 212.45.12.240 178.208.130.48 212.100.154.112 178.208.131.228 212.45.6.224 212.45.18.240 212.45.8.148 212.45.12.152 212.100.158.216 178.208.158.224 212.100.156.220 178.208.132.248 netname COMCOR-Fed< COMCOR-Makj^M COMCOR-Administ* ■ COMCOR-Avdolyar ■ COMCOR-Baranov; COMCOR-Chirikov-COMCOR-Dubynin. ] H COMCOR-Interjer COMCOR-IP-Poder" ■ COMCOR-Kapenov h COMCOR-Krivorucl ■ I COMCOR-NikitinaC ■ COMCOR- PopovichSergeyVIa** COMCOR-Posohov COMCOR-RakovscB ■ 212.100.154.192 COMCOR-Starenkc descr Network for Evgenjevn... Network for N|Hl Gennadjevna Network for Ad mini Network for Avdoly Odincovskiy Network for Baranc ■■ Network for Chirikc^ Network for Dubyni ■ ■ Network for Interjer Network for IP Pod Network for Kapen® Network for Krivori ■ ■■ ■ Network for Nikitini ® Rublevo-Usp... Network for Popovi Zhukovka... Network for PosohO ■ Vladislavovna Network for Rakov* ■ ■ Network for Staren person Fedc Evgenjevr® Maki Gennadjel Bogdanyi^B Yakovlevk Avdolyan Baranova Chirikov ^ Aleksey Va Minaev S Pavel Adr KapenovI Krivoruchl Nikitina 01 Popovich Posohova | Vladislavc RakovschH Starenko ■■ ■ address phone Russia, Moscow, Odincovskiy Zhukovka, +7 Zhu... 936-62-^a Russia, MO, Odincovskiy r-n, derevnya +7 Zhuk... 635-23-( Russia, MO, Odincovskiy r-n, derevnya Zhukovka, s.... Russia, Moscow, Odincovskiy Zhukovka derevnya, ... Russia, Moscow, Moskovskaya, Odincovskaya Zhukovk... Russia, MO, Odincovskiy r-n, derevnya Zhukovka, s/... +7 905 +7 964 £ +7 901 £ +7 495 Russia, MO, Odincovskiy r-n, Zhukovka derevnya, d.... Russia, MO, Zhukovka pos., Rublevo-Uspenskoe sh., Russia, Moscow, Odincovskiy, Zhukovka derevnya, d.... Russia, Moscow, Moskovskaya, Odincovskiy r-n Zhuk... +7 926 ^ +7 926 +7 495 t +7 926 ^ Russia, Moscow, Moskovskaya. Odincovskiy r-n dere... +7 904 $ Russia, Moscow, Moskovskaya, Rublevo-Uspenskoe, 8... Russia, Moscow, Moskovskaya, Rublevo-Uspenskoe, 8... +7 916 +7 909 Russia, Moscow, Odincovskiy derevnya Zhukovka, s.... Russia, MO, Odincovskiy r-n, derevnya Zhukovka, s.... +7 903 m Moscow, Moskovskaya, Odincovskiy r-n Zhukovka, Zh...
ip netname 212.45.9.104 COMCOR-Administr 212.100.154.112 COMCOR-Chirikov-* 178.208.142.160 COMCOR-Elit-Stroy 212.100.158.108 COMCOR-Mostovsk 212.100.136.64 COM CO R-OAO-Aljf i 212.100.156.220 COMCOR-Posohov; ■ 212.100.156.32 COMCOR-Prefektur. 178.208.132.248 COMCOR-Rakovscf* 212.45.9.120 COMCOR-Skopche« 212.100.153.88 COMCOR-Tarlo-Evc 212.45.31.52 COMCOR-Zaharjyat descr Network for Administrar^H* ■ Network for Chirikov Ar ■ ■■■ ■ Network for Elit-Stroy Network for Mostovska; ■ ■ ■ Network for OAO "Aljfa^* ■ ■ ■ Network for Posohova Vladislavovna Network for Prefektura ■ Hi ■ administrativnogo... Network for Rakovschih 1 ■ Network for Skopchevs Network for Tarlo Evgea ■ ■ BC Odincovskiy Network for ZaharjyaevB^^^^BB I Barviha persor Bogdar Yakovh ■ address Russia, MO, Odincovskiy r-n, derevnya Zhukovka, s.... phone +7 905 H ■ Chiriko Russia, MO, Odincovskiy r-n, derevnya Zhukovka, s/... +7 495 ■ ■ ■ Ryabo> B H Russia, Moscow, Barvihinskaya ul., d.6 +7 499 ■ Mostov ■ ■■ Vitaljev* Russia, Moscow, Moskovskaya, Odincovskiy r-n Barv... +7 903 ■ Trevog ■ ^b Russia, MO, Odincovskiy r-n, Barviha derevnya, d.1... +7 4951 fl Bxt. 0117571 Posohc • Vladish ■ Russia, Moscow, Odincovskiy derevnya Zhukovka, s.... +7 985 H ■ Klecov B ® Russia, Moscow, Barvihinskaya ul., d.4, korp.1 +7 499™ ■ _ Rakovs h Hi Grigorji Russia, MO, Odincovskiy r-n, derevnya Zhukovka, s.... +7 903 ■ ■ ■ SkopclBi^HBH ; *vich Russia, Moscow, Moskovskaya, Odincovskiy r-n Barv... +7 963 h TehspeO !■ Russia, Moscow, Moskovskya, Odincovskiy r-n Barvi... +7 985 ■ ■ ■ ■ Zaharj^m b ■ Semen* MO, Odincovskiy r-n, Barviha derevnya, d.GP-1,d.1 +7 905 ■ ■ ■
ip netname descr person address phone 212.100.155.184 COMCOR-Mihalkov-Nikita-Sergeevich Network for Mihalkov Nikita Sergeevich Mihalkov Nikita Sergeevich Russia, MO, Odincovskiy r-n, poselok Nikolina Gora... +7 WM
netname descr ip 212.100.134.88 COMCOR-DIT-DepTrans-Entuziastov Network for DIT (DepTrans) Entuziastov 212.100.132.192 COMCOR-DIT-DepTrans-Lesnoy Network for DIT (DepTrans) Lesnoy 212.100.130.116 COMCOR-DIT-DepTrans-Parkovki-AMPP- Triumfal... Network for DIT DepTrans Parkovki AMPP T... 212.100.132.32 COMCOR-DIT-DepTrans-Rogozhskiy-Val Network for DIT (DepTrans) Rogozhskiy Va... 212.100.132.148 COMCOR-DIT-DepTrans-Sadovaya- Samotechnaya-... Network for DIT (DepTrans) Sadovaya-Samo... 212.100.132.36 COMCOR-DIT-DepTransGKU-AMPP- Rublevskoe Network for DIT (DepTrans)(GKU AMPP) Rub... 212.100.130.68 COMCOR-DIT-DZ-Nauchno-prakticheskiy- centr-... Network for DIT (Departament zdravoohran... 212.100.134.24 COMCOR-DIT-DZ-Varshavskoe Network for DIT (Departament zdravoohran... 212.100.132.188 COMCOR-DIT-MChS-OP-115-PCh-2-OFPS-po-Moskv... Network for DIT MChS OP 115 PCh 2 OFPS p... 212.100.132.0 COMCOR-D IT- Prefektura-CAO-PVO-13-Basmannog... Network for DIT(Prefektura CAO(Pervichna... 212.100.129.32 COMCOR-DIT-Yakovoapostoljskiy Network for DIT Yakovoapostoljskiy 212.100.132.92 COMCOR-DITPrefektura-SZAO-OPOP-N2 Network for DIT(Prefektura SZAO, OPOP N2... 212.100.146.248 COMCOR-AuditOnlayn-Skotoprogonnaya Network for AuditOnlayn Skotoprogonnaya 212.45.7.104 COMCOR-Auditorskaya-gruppa-NTC-Sodeystvie- Elektrod... Network for Auditorskaya gruppa "NTC "Sodeystvie"... 212.45.20.200 COMCOR-DIREKT-KREDIT-CENTR-Generala- Belova-35 Network for DIREKT KREDIT CENTR Generala Belova 35 212.100.158.144 COMCOR-DIT-114-PCh-2-OFPS Network for DIT 114 PCh 2 OFPS 212.100.156.244 COMCOR-DIT-Departament-zdravoohraneniya- GB-81-PO Network for DIT (Departament zdravoohraneniya) GB ... 212.100.158.160 COMCOR-DIT-DepTrans-Akademika-Saharova Network for DIT (DepTrans) Akademika Saharova 212.100.149.212 COMCOR-DIT-DepTrans-Akademika-Saharova Network for DIT DepTrans Akademika Saharova 212.45.14.156 COMCOR-DIT-DepTrans-GKU-AMPP-Silikatnyy Network for DIT DepTrans GKU AMPP Silikatnyy 212.100.150.232 COMCOR-DIT-DepTrans-Kosmonavta-Volkova Network for DIT (DepTrans) Kosmonavta Volkova 178.208.130.52 COMCOR-DIT-DepTrans-Lesnoy-11 Network for DIT (DepTrans) Lesnoy 11 178.208.159.208 COMCOR-DIT-DepTrans-Lesnoy-2-y-per Network for DIT (DepTrans) Lesnoy 2-y per. 212.45.18.188 COMCOR-DIT-DepTrans-Millionnaya Network for DIT (DepTrans) Millionnaya 91?.45.12.100 COMCOR-DIT-DepTrans-Novyy-Arbat Network for DIT (DepTrans) NovyyArbat ¡791 person address phone Sharov Nikolay Russia, Moscow, Entuziastov 1-ya ul., d.12... +7 495 787-43-30 Ext. 1236 Maslennikov Vladimir Borisovich Russia, Moscow, Lesnoy 2-y per., d.11, str... +7 903 778-11-67 Mihail Roschin Russia, Moscow, Triumfaljnaya pi., d.vl. 1... +7 926 032-62-88 Rumyancev Mihail Valerjevich Russia, Moscow, Rogozhskiy Val ul., d.9/2 +7 495 678-53-18 Cheremushkin Evgeniy Russia, Moscow, Sadovaya-Samotechnaya ul +7 903 202-68-79 Chemikov Pavel Russia, Moscow, Rublevskoe (dubler) sh., d... +7 916 470-22-59 Bahadyr Administrator Russia, Moscow, Raskovoy Mariny ul., d.16/... +7 985 213-65-34 Zhulin Aleksey Russia, Moscow, Varshavskoe sh., d.83 +7 495 531-69-88 Simonenko Denis Viktorovich Russia, Moscow, Fadeeva ul., d.4, PCh +7 495 678-18-82 Sidorenko Olesya Anatoljevna Russia, Moscow, Gospitaljnyy Val ul., d.5,... +7 499 261-05-09 Vinogradov Mihail Russia, Moscow, Yakovoapostoljskiy per., d... +7 903 275-30-97 Baranov Vasiliy Ivanovich Russia, Moscow, Geroev Panfilovcev ul., d.... +7 495 492-37-11 Panarina Anna Sergeevna Russia, Moscow, Skotoprogonnaya ul., d.27/26, str.... +7 495 150-33-17 Viktor Verholancev Russia, Moscow, Elektrodnyy pr., d.3, str.5 +7 903 108-54-72 Tehspec Tatjyana Russia, Moscow, Generala Belova ul., d.35 +7 906 092-29-43 Matkaev Danil Vladimirovich Russia, Moscow, Volhonka ul., d.12, str.1 +7 926 262-95-50 Petr Administrator Russia, Moscow, Lobnenskaya ul., d.10, korp.3 +7 926 575-52-46 Viskov Nikolay Evgenjevich Russia, Moscow, Akademika Saharova prosp., d.vl 9-... +7 905 592-13-53 Lyubushkin Igorj Viktorovich Russia, Moscow, Akademika Saharova ul., d.- +7 963 633-93-99 Chernikov Pavel Vasiljevich Russia, Moscow, Silikatnyy 1-y pr., d.27, str.2 +7 916 470-22-59 Sharov Nikolay Russia, Moscow, Kosmonavta Volkova ul., d.31 +7 495 787-43-30 Ext. 1236 Molchanov Vasiliy Aleksandrovich Russia, Moscow, Lesnoy 2-y per., d.11, str.1 +7 916 597-20-94 Vasiliy Molchanov Russia, Moscow, Lesnoy 2-y per., d.11, str.1 +7 916 597-20-94 Sytnik Vasiliy Vladimirovich Russia, Moscow, Millionnaya ul., d.8, korp.1 +7 963 695-58-32 Viskov Nikolay Evgenjevich Russia, Moscow, Novyy Arbat ul., vl.11-21, uch.3 +7 905 592-13-53
'P netname descr 212.100.132.72 COMCOR-AKB-NOVIKOMBANK-Zhukovskiy- Zhukovsk... Network for AKB "NOVIKOMBANK" Zhukovskiy... 212.100.132.248 COMCOR-AO-KB-ForBank Network for AO KB ForBank 212.100.130.152 COMCOR-BankIRS Network for Bank IRS 212.100.130.184 COMCOR-OAOMOSKOMBANK Network for OAO MOSKOMBANK 212.45.1.112 COMCOR-AB-Interprogressbank Network for AB "Interprogressbank" 212.45.21.160 COMCOR-AKB-ISTBRIDZh-BANK-ZAO Network for AKB "IST BRIDZh BANK" (ZAO) 178.208.132.56 COMCOR-AKB-Moskovskiy-Vekseljnyy-Bank Network for AKB "Moskovskiy Vekseljnyy Bank" (ZAO... 212.45.26.200 COMCOR-Akcionernoe-obschestvo-Sberbank- Tehnologii Network for Akcionernoe obschestvo Sberbank-Tehnol... 212.100.159.128 COMCOR-AO-Aljfa-Bank Network for AO "Aljfa-Bank" 212.45.18.0 COM CO R-AO-AI jf a-Ban k-Denezh nyy Network for AO Aljfa-Bank Denezhnyy 178.208.159.72 COMCOR-AO-Aljfa-Bank-Tomilino Network for AO Aljfa-Bank Tomilino 212.45.23.128 COM CO R-AO-AI jf a- Ban k-Volgogradskiy-prosp Network for AO Aljfa-Bank Volgogradskiy prosp 178.208.158.144 COMCOR-AO-Bank-Finservis Network for AO "Bank Finservis" 178.208.147.88 COMCOR-AO-Bank-of-Tokio-Micubisi-YuFDzhey- Evraziya Network for AO Bank of Tokio-Micubisi YuFDzhey Evr... 212.100.150.208 COMCOR-AO-Gazprombank-Berezhkovskaya Network for AO Gazprombank Berezhkovskaya 212.45.12.200 COM CO R- Ban k-Vozrozhden ie Network for Bank Vozrozhdenie 212.45.12.10 COMCOR-Bank-Vozrozhdenie-Zhukovskiy Network for Bank Vozrozhdenie Zhukovskiy 212.100.148.68 COMCOR-Bankomat-Banka-Moskvy Network for Bankomat Banka Moskvy 212.45.23.240 COMCOR-FilialAKBBashkomsnabbankvgMoskve Network for Filial AKB "Bashkomsnabbank" v g.Moskv... 212.100.147.24 COMCOR-Finans-Biznes-Bank Network for Finans Biznes Bank 212.100.156.24 COMCOR-KB-GENBANK-OOO Network for KB "GENBANK" (OOO) 212.45.15.120 COMCOR-KB-Geobank-Krasnoseljskaya Network for KB Geobank Krasnoseljskaya 178.208.159.0 COMCOR-KB-NS-Bank-Azovskaya Network for KB "NS Bank" Azovskaya K ir\ r l/D "Dnnly TArn/MfA/m 212.45.2.248 COMCOR-KBBankTorgovogoFinansirovaniya-OOO Network for KB "Bank Torgovogo 9 9 Finansirovamya (O... person address Avde®-1 VertiH Vadi movie® ■ m Russia, Moscow, Zhukovskiy Zhukovskogo ul... Russia, Moscow, Basmannaya Nov. ul., d.29,... Lebe ■ - HH Russia, Moscow, Timiryazevskaya ul., d.26 Koni* mm m Russia, Moscow, Frunzenskaya 1-ya Evgenjevtl ul., d.5... Bobkov S=J u u u Moscow, Starokashirskoe shosse, d.2, k.8 Demichev* mm Moscow, Moskvoreckaya nab., d.7 Lipilin Ale ■ ■ Russia, Moscow, lljmenskiy pr., d.10, str.1 Smirnov C Russia, Moscow, Territoriya innovacionnogo centra Vy ache sic mm Russia, Moscow, Vemadskogo prosp., d.119 Nagovicin ■ Russia, Moscow, Denezhnyy per., d.3 Simonov \ Trevogin ’ Russia, Moscow, Tomilino Tomilinskaya pticefabrik... Russia, Moscow, Volgogradskiy prosp., d.43, korp.1 Igorj Yaro m Russia, Moscow, Godovikova ul., d.8a Stepan Ri Russia, Moscow, per. Romanov, d.4, str.2 Markov Mi m Russia, Moscow, Berezhkovskaya nab., d.24, str.1 Shanaev l^m ■ m Russia, Moscow, Kokkinaki ul., d.6 ■ ■ ■ Shanaev ^m ■ HI Russia, Zhukovskiy, Gagarina ul., d.3, korp.1 ir ■ 1 Terehina I ■ Russia, Moscow, Varshavskoe sh, d.133 ■ ■ Medvede' Sarychev Nesterov Pavlov Ni Dmitriev C Chernov (I ■ ■ ■ Russia, Moscow, 60-letiya Oktyabrya prosp., d.5, k... ■ - Moscow, Solyanka ul., d.3, str.2 Moscow, Andronjevskaya M. ul., d.20/8, str.1 Moscow, Krasnoseljskaya Nizh. ul., d.40/12 ■ Russia, Moscow, Azovskaya ul., d.24, ■ ■■ korp.2 ® Russia, Moscow, Profsoyuznaya ul., d. 84/32 ■ ■ mm it
Для службы безопасности — утечка переданных клиентов входящие х Vladislav Zdolnikov «vladislav.zdolnikov@gmail.ccm> кому: info, info •* Здравствуи-е' Мои коллеги обнаружили у вас серьёзную утенку персональных данных ваших клиентов через сервис whois. В подсетях, выделенных вашим, мохно обнаружить адрес. ФИО и номер телефона клиента, который пользуется конкретной подсетью или IP-адресом. Подсети, в которых замечена утенка: 212.10Э.128.0И9 212.45.0.0/19 178.208.128.0/19 Примеры: Клиент, который пользуется подсетью 2*2.100.168.2*6,|30 - ■ С СИМннадьевка, подключена по адресу Московская область. Рублёво-Успенское шоссе. 8 километр. Коттеджный посёлок Жуковка-2. д.2. телефон • Ну и так далее. Пожалуйста, подтвердите получение информации и передачу техническим слециалистам/в службу безопасности. Надеюсь на скорое устранение утечки переданных.
Обращение входящие х ■I ■ ■ ■ ■■ ■ @акайо-1е1есот.ги> кому: я ▼ Добрый день. Владислав! Спасибо за обращение в ГК "Акадо-Телеком". Поступившая информация будет проверена, дана оценка, результаты проверки также сообщу Вам. Благодарю Вас за сотрудничество. С уважением. Начальник отдела информационной безопасности и технического обеспечения ОАО «КОМКОР» («АКАДО Телеком») e-mail: ■ тел.: -»И факс: feakado-telecom .ru 0K0DO телеком Варшавские шоссе, д. 133.Москва, 117535 •AWA.akjclo.ni ц wwaluaji) :еx-cuin.ru ВТ, 16 окт., 9:23
Vladislav Zdolnikov <vladislav.zdolnikov@gmail.com> кому: Aleksandr ▼ <£> 22 окт. 2018 r, 12:01 (11 дн. назад) Александр, добрый день! Есть новости?
кому: я ▼ Добрый день! Информация по запросам \уЬо1Б была отредактирована. Также ищем другие возможные прецеденты. Спасибо Вам большое за обращение и содействие. пн, 22 окт., 15:04 (11 дн. назад)
Vladislav Zdolnikov <vladislav.zdolnikov@gmail.com> кому: <£> 23 окт. 2018 г.. 23:34 (10 дн. назад) здравствуйте. Да я только рад помочь, но. Адреса из моего примера перестали отдавать личную информацию в блоке person, однако ФИО (или название компании, если это юр. лицо) всё равно доступно в блоке inetnum. 8 случае с другими адресами, не поменялось вообще ничего — я «потыкался» whois'OM в случайные адреса — информация по-прежнему есть даже в блоке person :( Пара случайных примеров других адресов + информация из inetnum по моим примерам в исходном сообщении:
кому: я ср, 24 окт., 17:42 (9 дн. назад) -fa 4s Владислав, добрый день! На данный момент принято решение убрать персональные данные всех пользователей белых подсетей, однако поле metnum мы обязаны заполнять по требованию RIPE. Также приглашаю Вас посетить нашу компанию для проведения экскурсии и посещения нашего музея.
Vladislav Zdolnikov <vladislav.zdolnikov@gmail.com> кому: Добрый вечер,. ш ■ <S> ср, 24 окт., 19:10 (9 дн. назад) Спасибо большое за приглашение — будет побольше времени, обязательно посещу, очень интересно. То есть личные данные в inetnum сохранятся? Я знаю про правила RIPE, однако провайдеры указывают там назначение подсети. Ни один другой провайдер не указывает там ФИО своего клиента. Да и не думаю, что это вообще соответствует российским законам.
политика,политические новости, шутки и мемы,персональные данные,it,все плохо,длиннопост,провайдер,интернет
P.S. можно было бы так же попытатся нарыть инфы у других провайдеров, если у них такие же проблемы то можно сказать точно, в нашей стране дешевый инет изза отсутствия полной защиты клиентов и данных.
https://habr.com/company/poiskvps/blog/413553/
Феерический рашн наебизнес.
База RIPE - идиотский пережиток 30-летней давности, когда все IP можно было пересчитать по пальцам, они все принадлежали организациям и вообще это были времена розовых пони. И формально они до сих пор требуют вот это всё предоставлять, некоторые организации всё же в первую очередь думают о клиентах и плюют на эти смехотворные по нынешним временам требования, нарушая договор и формально рискуя лишиться IP-адресов. Но некоторые компании, в том числе известнейшие провайдеры Западной Европы, вот это всё в том же объёме о своих пользователях в базу вносят, и на просьбу убрать отвечают - "не нравится, отказывайся от сервиса, мы выполняем договор с RIPE".
Провайдер для мазохистов.
Хакер приходит в общественную столовую и с возмущением обнаруживает, что солонку на столе может открутить кто попало и насыпать туда что угодно. Хакер приходит домой и пишет гневное письмо директору столовой: «Я, meG@Duc, обнаружил уязвимость солонки в Вашей столовой. Злоумышленник может вскрыть солонку и насыпать туда яду! Примите меры срочно!»
День второй
Директор среди прочих деловых писем, запросов о поставках еды и курьерских уведомлений получает письмо, и пожимает плечами: «Кому этот бред только в голову пришёл?»
День пятый
Хакер приходит в столовую, насыпает во все солонки яду. Погибает триста человек, директора три месяца таскают по судам и, в конце концов, оправдывают за отсутствием состава преступления. Хакер пишет письмо в стиле «ну что, видали?».
День 96-ой
Директор покупает специально спроектированные солонки с кодовым замком. Посетители столовой чувствуют, что они в этой жизни чего-то не понимают.
День 97-ой
Хакер обнаруживает, что дырки в солонках пропускают соль в обе стороны. И не только соль, а вообще всё, что угодно. Он пишет возмущенное письмо директору и ссыт во все солонки столовой. Триста человек перестают посещать эту столовую вообще, тридцать попадают в больницы с отравлением. Хакер вдогонку посылает директору смс-ку «Ну как вам?». Директора тем временем три месяца таскают по судам и дают год условно.
День 188-ой
Директор столовой клянется в жизни больше не работать ни в одной столовой, а тихо-мирно грузить лес в Сибири. Инженеры работают над новой солонкой с односторонним клапаном. Официантки тем временем изымают все старые солонки и раздают соль вручную.
День 190-ый
Хакер тырит солонку из столовой и изучает дома её устройство. Пишет гневное письмо директору: «Я, meG@Duc, стырил солонку и нахожу этот факт возмутительным! Любой может стырить солонку из Вашей столовой!» До этого непьющий директор читает письмо, идет домой и выпивает водки.
День 193-ый
Хакер обнаруживает, что все солонки в столовой прибиты цепями к столам. Он приезжает на очередной хакерский СПРЫГ и докладывает о своих успехах, получая там заслуженную награду за защиту интересов общества и потребителя. К счастью, директор ничего про это не знает и не сопьется раньше времени.
День 194-ый
В рамках дьявольски гениально продуманной операции хакеры всем СПРЫГом вламываются в столовую и высыпают соль из всех солонок себе в карманы. Хакер meG@Duc пишет возмущенное письмо директору, намекая на то, что никакой заботы о посетителях в столовой нет и любой гад может лишить честных людей соли в одно мгновение. Дозатор соли с авторизацией необходим просто позарез.
Инженеры в поте лица работают над новой солонкой, пока официантки опять раздают соль вручную. Директор уезжает в отпуск на Сейшельские острова и обедает только в номере, избегая столовых, ресторанов и баров.
День 200-ый
Посетители столовой с ужасом находят, что, чтобы насыпать соли, они должны подойти к официанту, предьявить паспорт, получить специальный 8-значный одноразовый код к солонке. Для получения перца процедуру следует повторить.
Ибо "солонка с солью" в буквальном смысле высыпаваеться сверху до головы всем посетителям, а вместе с ней проход к столикам, прямо через склад с продуктами.
На перекрёстке к вашему авто подбегает школьник с грязной тряпкой и типа начинает чистить вам фары и стекло, вы радостно каждому школьнику на каждом перекрёстке будут по допустим 100р отдавать? Не знаю как вам, мне такой навязанный сервис нахуй не упрёся, я при необходимости заеду на мойку где мне "керхером" качественно с пеной за 300-400р помоют машину. Ещё один пример, в мою юность в Москве, в Сколольниках у небезызвестной "кишки" тусовались мутные пацанчики, которые "по доброте душевной" могли твой скутер подкрутить, если с ним были проблемы, а они были, ты ж не просто так сюда приехал,ну а потом с важным видом после такой помощи пытались тебя развести на тыщу-две за "помощь", малолетки вытряхивали карманы, кто по умнее и постарше слали "помощника" нахуй, со словами "а ты сам помощь предложил,тебя никто не заставлял".
Тут я вижу подобную ситуацию, нашёл уязвимость - молодец, сообщил людям у кого эта уязвимость - в двойне молодец, сообщил о уязвимости с целью поощрения, тебя послали нахуй и ты обиделся, после чего выложил уязвимость с оправданием "меня нахуй послали" - ты мудак. Это моё ИМХО.
Провайдер же вместо исправления косяков, отмазывается, и для вида делает косметические заплатки. Отсюда и негодование.
- Тогда мы должны действовать, Иван, пусть народным мстителям будут доступны все их адреса. Оформим это через устаревшее оборудование, чтобы в глаза не бросалось.
- Хорошая идея, Иван.
Некоторое время спустя...
- Так, блять, почему данные жителей Барвихи доступны по whois?!
Вот именно, что им реально насрать, это для них не проблема, так, косяк небольшой. Даже не задаются подобными вопросами.