American Express India lekt data 690.000 klanten via database
De Indiase tak van creditcardmaatschappij American Express heeft via een onbeveiligde MongoDB-database de persoonsgegevens van 690.000 klanten gelekt. MongoDB is een opensource NoSQL-database die door allerlei organisaties en websites wordt gebruikt.
Onderzoeker Bob Diachenko ontdekte de database op 23 oktober via een zoekmachine. Het grootste deel van de data in de database was versleuteld, maar een deel van de gegevens was dat niet. De grootste verzameling bestond uit de telefoonnummers, namen, e-mailadressen en het soort creditcard van zo'n 690.000 klanten.
De versleutelde data bevatte 2,3 miljoen records, waaronder namen, adressen, Aadhaar-nummers (het identiteitssysteem van de Indiase overheid), kaartnummers en telefoonnummers. Na ontdekking van de database waarschuwde Diachenko American Express, dat de server direct uit de lucht haalde, om vervolgens de database te beveiligen. De creditcardmaatschappij stelde een onderzoek in en liet de onderzoeker weten dat er geen bewijs voor ongeautoriseerde toegang tot de data-omgeving is aangetroffen.
Het is allang de vraag niet meer OF mijn gegevens op straat komen te liggen; de enige vraag die nog bestaat is WANNEER.
https://uidai.gov.in/authentication.html
"A requesting entity may choose suitable mode(s) of authentication from the modes specified in sub-regulation (2) for a particular service or business function as per its requirement, including multiple factor of authentication for enhancing security. For the avoidance of doubt, it is clarified that e-KYC authentication shall only be carried out using OTP and/ or biometric authentication."
Lees erover bij SNYK, IDS & secure developer platform:
https://snyk.io/blog/mongodb-hack-and-secure-defaults
Via ZoomEye query mogelijk in combinatie met een shodannetje zijn de te compromitteren kandidaten gemakkelijk op te sporen. Wie niet heeft geupdate tot minimaal versie 2.6.0 kan nu al de sjaak zijn.
Ongelooflijk, echt ongelooflijk en zo gaan uw waardevolle data met hele bakken het digitale raam uit.
Wie houden er zo'n waanzinnige beveiligingssituatie in stand? Dit is toch bijna niet meer te verkopen deze voortdurende data-breaches via slecht of niet beveiligde online databases. Wie houdt de veroorzakers verantwoordelijk? Geen moeilijke type manipulatie nodig om een beveiligingsmechanisme mee te kunnen omzeilen, maar gewoon een simpele per default hack, een existerend gapend gat. Man, man, man. Het wordt echt steeds grijzer, hoe zout wil je het gegeten hebben?
Wie neemt de incompentente slecht gekwalificeerde mensen in dienst en in bescherming, die dit mee kunnen veroorzaken?
Wie gedoogt dit onveilige circus om verder mee door te gaan?
luntrus
https://uidai.gov.in/authentication.html
"A requesting entity may choose suitable mode(s) of authentication from the modes specified in sub-regulation (2) for a particular service or business function as per its requirement, including multiple factor of authentication for enhancing security. For the avoidance of doubt, it is clarified that e-KYC authentication shall only be carried out using OTP and/ or biometric authentication."
Als ik op Adhaar zoek kom ik heel wat problemen tegen. Met Adhaar worden bankrekeningen in naam van anderen geopend, worden leningen afgesloten met valse identiteiten en door fouten met de biometrische identificatie die er deel van uitmaakt wordt zorg aan mensen geweigerd, wat zelfs levens heeft gekost. Alles wat met ons BSN soms misgaat gaat met dat nummer ook mis en nog veel meer.
Wat op papier goed eruit ziet hoeft in werkelijkheid nog niet goed te werken. Wat Nederland met het BSN doet is erkennen dat de praktijk niet zo mooi is geworden als de theorie en erkennen dat identiteitsfraude plaatsvindt omdat het BSN niet altijd zo goed wordt gecontroleerd als je zou willen, bijvoorbeeld in de medische sector omdat men daar geen zorg wil weigeren aan iemand die het nodig heeft en op dat moment niet alle papieren en identiteitsdocumenten paraat heeft. Je krijgt zo'n systeem niet waterdicht als je mensen menselijk wilt behandelen.
Dat onze overheid die realiteit erkent en vanuit die erkenning erop hamert voorzichtig te zijn met dat nummertje is iets anders dan een slechte praktijk sanctioneren en aanmoedigen, het is een erkenning dat je het niet zo makkelijk ideaal krijgt. In realiteitszin is de Nederlandse overheid zo te zien een stuk verder dan die van India.
https://www.medianama.com/2018/05/223-state-of-aadhaar-report/
https://thewire.in/economy/aadhaar-fraud-uidai
https://www.bloombergquint.com/business/2017/01/17/the-dangers-of-aadhaar-based-payments-that-no-one-is-talking-about
https://www.washingtonpost.com/news/theworldpost/wp/2018/08/09/aadhaar/?noredirect=on&utm_term=.64f7fd08b94e
Lees b.v.
https://www.security.nl/posting/582000/Navionics+lekt+data+261_000+klanten+via+onbeveiligde+database
https://www.security.nl/posting/577490/Onderzoeker+vindt+marketingdatabase+met+11+miljoen+e-mailadressen
https://www.security.nl/posting/576758/Softwarebedrijf+Veeam+lekte+200+gigabyte+aan+klantgegevens
Daarmee dus concluderend dat locatie (India) niet uitmaakt. Werk voor specifieke beheerders.
Succes.
Lees erover bij SNYK, IDS & secure developer platform:
...
Wie neemt de incompentente slecht gekwalificeerde mensen in dienst en in bescherming, die dit mee kunnen veroorzaken?
Wie gedoogt dit onveilige circus om verder mee door te gaan?
luntrus
Dit is inderdaad onvoorstelbaar! Een gedeeltelijk onversleutelde database zonder beveiliging aan internet hangen, hoe verzinnen ze het? En als het nou de eerste de beste partij was, maar nee, het gaat blijkbaar om American Express (India). Totaal kansloos dit!
Deze posting is gelocked. Reageren is niet meer mogelijk.
Specialiseer je in Forensisch ICT
Online informatieavond 19 november
Wil jij je specialiseren in digitaal forensisch onderzoek? Je kennis verbreden en tech-nische vaardigheden ontwikkelen? Ontdek de cursus- en opleidingsmogelijkheden van Hogeschool Leiden:
- Bachelor Informatica Forensisch ICT (deeltijd)
- Master Digital Forensics (vol- en deeltijd)
- Module Mobile Forensics
- Module Data Analytics
Interesse? Meld je aan!
Information Security Officer (2fte)
Een uitdagende rol waarbij jij, op basis van security, de vertaalslag maakt tussen business en IT en direct bijdraagt aan de veiligheid van informatie binnen de gemeente Almere. Dat is in een notendop waar jij als Information Security Officer mee bezig bent. Interesse gewekt? Door groei van de organisatie zijn we op zoek naar twee nieuwe collega’s.
Cybersecurity Trainer / Streamer
Toe aan een nieuwe nieuwe job waarmee je het verschil maakt? In de Certified Secure trainingen laat je deelnemers zien hoe actuele kwetsbaarheden structureel verholpen worden. Ook werk je actief mee aan de ontwikkeling van onze gamified security challenges. Bij het maken van challenges kom je telkens nieuwe technieken tegen, van Flutter tot GraphQL, van Elastic Search tot Kubernetes.
