ABD'de yaşıyorsanız ve son on yılda bir ev satın aldıysanız, bilgileriniz risk altında olabilir. TechCrunch'a göre 24 milyondan fazla ipotek ve bankacılık belgesi ortaya çıktı bir kez değil iki kez.
Açıklanan bilgiler ipotek kredisi sözleşmeleri, ödeme planları, borçluların telefon numaraları ve diğer hassas finansal verileri içermektedir..
Suçlu? Güvenli olmayan tek bir sunucu. Bunun kötü olduğunu düşünüyorsanız, daha da kötüleşir: Milyonlarca hassas belgeyi barındırmaya ek olarak, bu sunucu bir şifre bile içermiyordu.
Başka bir deyişle, bu bilgi tarayıcılarını açmak ve URL'yi yazmak için beş saniyesi olan herkes tarafından kullanılabilirdi.
Contents
Ön kapı kilidi açıkken değerli eşyalarınızı içeride bırakmak
Söz konusu belgeler üçüncü taraf bir veri ve analiz şirketi olan Ascension tarafından saklandı. Herkese açık bir blog gönderisinde, halka açık sunucuyu ilk keşfeden infosec uzmanı Bob Diachenko, 24 milyondan fazla kaydın açıkça mevcut olduğunu belirtti.
On yıldan fazla süren kayıtlar, 51 GB'lık OCR (optik karakter tanıma) verilerini barındırıyordu. Bu tür metinler çıplak gözle kolayca okunabilirken, özel ayrıntıları açıklamak için birlikte kolayca ayrıştırılabilir.
“Bu bilgiler kimliklerini çalmak, sahte vergi beyannameleri vermek, kredi veya kredi kartı almak için ihtiyaç duydukları her şeye sahip olan siber suçlular için altın madeni olacaktı.”.
Borç verenlerin bu belgelerin var olduğu hakkında hiçbir fikri yoktu
Maruz kalan sunucu, Wells Fargo, Capital One, HSBC Hayat Sigortası, CitiFinancial ve daha pek çok farklı banka ve kurumdan on binlerce finansal belgeye ev sahipliği yaptı. Bilgiler biraz karıştırılmış olsa da, yeniden yapılandırmak nispeten kolaydı - özellikle de bir kişi doğru araçları kullanacaksa.
Ancak işin özü: Bankaların çoğu Yükseliş ile sıfır bağlantısı olduğunu söyleyerek kayda geçti. Aslında, Wells Fargo “2010'dan beri Yükseliş ile hiçbir satıcı ilişkisi olmadığını” kaydetti. HSBC de aynı şeyi söyledi.
Bu, insanların farklı şirketlerden atladığı kişisel konut belgelerinin birden fazla kez el değiştirdiği anlamına gelir - bazı durumlarda orijinal finansal borç vermeden bile- sonunda davet edilenler dışındaki herkesin.
Beni iki kez kandır, utanç
Pozlama açık ve kapalı bir dava gibi görünüyor, değil mi? Ne yazık ki değil. İlk rapordan bir gün sonra Diachenko, aynı dosyaları barındıran başka bir güvenli olmayan sunucu buldu. Bu sunucu bir kez daha şifre kilidi içermedi ve daha da kötüsü, tüm hassas belgeleri düz metin olarak listeledi.
Yine kötüleşiyor. Dosyalar, varsayılan olarak şifre korumasını sağlayan bir Amazon S3 depolama sunucusunda saklanmıştır. Bu, bu kişisel belgelerin saklanmasından sorumlu tarafın (veya tarafların) şifre koruma ayarlarını gönüllü olarak devre dışı bıraktığı anlamına gelir.
Bu, tüm paranızı yatağınızın altında tutmak, ön kapınızı fiziksel olarak çıkarmak ve ardından bir hafta sürecek bir tatile gitmek gibi!
Tamam, kırdığımız ipotek belgeleri hikayesinde işlerin daha da kötüleşebileceğini düşündüyseniz, yanılıyorsunuz. OCR için kullanılan taranmış dokümanlarla dolu bir şirketin halka açık OPEN S3 kovasını buldum => Elasticsearch… @zackwhittaker bir saniyede daha fazlasını anlatacak
- Bob Diachenko (@MayhemDayOne) 24 Ocak 2019
İlk veri önbelleği gibi, bunun da W-2'leri ve diğer hassas finansal belgeleri içerdiğini belirtmek gerekir. Ne yazık ki, bu bilgilerin ne kadar süreyle açıklandığını veya hangi tarafların bu bilgileri görüntülediğini anlamanın bir yolu da yok.
Diachenko, “Bu adamlar gibi bir tanıtımdan sonra yapacağınız ilk şeyin bulut depolama alanınızın kapalı olup olmadığını veya en azından şifre korumalı olup olmadığını kontrol etmek olduğunu varsayıyorum” dedi..
Görünüşe göre öyle değil.
Bilgilerinizi korumaya yardımcı olacak adımlar
Hiçbir zarara yol açmamak kesinlikle mümkün olsa da, asla hazırlıklı olmaktan acımaz. ABD'de yaşıyorsanız ve son on yılda bir ev satın aldıysanız, önemli değişikliklerin olup olmadığını görmek için son kredi raporlarınızı gözden geçirmek birkaç dakika sürebilir..
Çeşitli çevrimiçi hesaplarınızda 2 faktörlü kimlik doğrulamanın etkinleştirilmesi de önerilir. İkinci bir giriş yöntemi ayarlayarak üçüncü taraflar, tüm bilgileriniz olsa bile çeşitli hesaplarınıza giriş yapamazlar..
Ayrıca, bir eki açmadan önce tüm e-posta adreslerini iki kez kontrol etmek de önemlidir. Kişisel bilgileriniz el altındayken, bilgisayar korsanlarının genellikle belirli ayrıntılardan (yani kullanıcı adınız, şifreniz vb.) Bahseden saygın bir şirket olarak gizlenmiş kötü amaçlı e-postalar gönderdiği ve alıcıyı değiştirmesini (veya onaylamasını) istediği bilinir. şifresini, eki açmayı ve daha fazlasını yapın.
Alıcıyı bilmiyorsanız - veya bir e-posta otomatik olarak şüpheli olarak işaretlenmişse, dikkatli bir şekilde yaklaşmak en iyisidir.
Bu hikaye hala geliştirilme aşamasındayken, parolanızı ve güvenlik ayarlarınızı her zaman etkinleştirmek için uyarıcı bir hikaye olarak hizmet eder. Kişisel bilgilerinizi korumak için rastgele bir şirkete güvenemeyeceğiniz için gizliliğinizi kendi ellerinize almak size kalmış.