Detalhes do cartão de crédito, incluindo informações pessoais, endereços IP e outras comunicações encontradas expostas do software de campo

Notícia
Segurança / Detalhes do cartão de crédito, incluindo informações pessoais, endereços IP e outras comunicações encontradas expostas do software de campo 4 minutos lidos

Software de campo



Descobriu-se que informações confidenciais privadas e financeiras de centenas de usuários de cartão de crédito estavam armazenadas em um banco de dados que não era seguro. Os pesquisadores executando um programa de digitalização simples descobriram um banco de dados exposto na Internet de propriedade da Fieldwork Software. Surpreendentemente, os dados continham extensos detalhes financeiros pertencentes a clientes empresariais. Além dos detalhes do cartão de crédito, outras informações altamente confidenciais, como nomes associados, tags GPS e até mesmo a comunicação entre o cliente e o provedor de serviços, podem ser potencialmente acessadas e exploradas. O aspecto preocupante é que os projetos de digitalização que expuseram o banco de dados com vazamento são bastante fáceis de implantar e estão sendo cada vez mais usados ​​por grupos profissionais de hackers para explorar informações financeiras ou plantar malware.

Os pesquisadores que trabalham para a segurança cibernética vpnMentor, que descobriram o banco de dados aparentemente exposto do software de campo, ofereceram seus descobertas por meio de uma postagem no blog . A equipe, composta por Noam Rotem e Ran Locar, indicou que cerca de 26 GB de dados permaneceram expostos. É claro que o banco de dados não foi deixado intencionalmente exposto. No entanto, a descoberta expõe os perigos de as informações financeiras permanecerem exploráveis ​​a qualquer grupo de programadores que sabem onde procurar ou iniciar uma busca aleatória por servidores ou bancos de dados que não tenham sido devidamente protegidos. Curiosamente, o tamanho dos dados pode não ser grande, mas a natureza das informações pode ser potencialmente explorada para lançar vários assaltos financeiros digitais maciços.



O software de campo de propriedade da Anstar tinha um banco de dados com vazamento que era protegido por protocolos de segurança deficientes

Os pesquisadores de segurança cibernética do vpnMentor descobriram o exposto e essencialmente protegido por protocolos de segurança fracos durante um projeto de digitalização da web. O projeto em andamento da empresa essencialmente fareja a Internet em busca de portas. Essas portas são essencialmente gateways para bancos de dados normalmente armazenados em servidores. O projeto faz parte de uma iniciativa para procurar e descobrir portos que sejam acidentalmente ou inadvertidamente deixado aberto ou não seguro . Essas portas podem ser facilmente exploradas para sucatear ou coletar dados.

Em várias ocasiões, essas portas se tornaram a fonte do vazamento de divulgação pública acidental de dados corporativos confidenciais. Além disso, vários grupos empreendedores de hackers muitas vezes peneirar cuidadosamente os dados e procurar mais rotas potenciais para explorar . IDs de e-mail, números de telefone e outros detalhes pessoais são frequentemente usados ​​para lançar ataques que dependem de engenharia social. Aparentemente autenticar e-mails e chamadas telefônicas foram usados ​​no passado para fazer com que as vítimas abram e-mails e anexos maliciosos .

O software de trabalho de campo é essencialmente uma plataforma voltada para pequenas e médias empresas (SMBs). O mercado-alvo ainda mais restrito da empresa de propriedade da Anstar são as pequenas e médias empresas que oferecem serviços na porta dos clientes. As pequenas e médias empresas que oferecem serviços domésticos precisam de muitas informações e ferramentas de rastreamento para garantir o gerenciamento de atendimento ao cliente e o gerenciamento de relacionamento com o cliente ideais. A plataforma do Fieldwork é principalmente baseada na nuvem. A solução permite que as empresas rastreiem seus funcionários que fazem ligações domiciliares. Isso ajuda a estabelecer e manter registros de CRM. Além disso, a plataforma oferece vários outros recursos de atendimento ao cliente, incluindo sistemas de programação, faturamento e pagamento.

O banco de dados exposto continha informações financeiras e pessoais de clientes comerciais da Fieldwork Software. A propósito, com 26 GB, o tamanho do banco de dados parece bem pequeno. No entanto, o banco de dados supostamente incluía nomes de clientes, endereços, números de telefone, e-mails e comunicações enviadas entre usuários e clientes. Surpreendentemente, essa era apenas uma parte do banco de dados. Outros componentes que permaneceram expostos incluíram instruções enviadas aos funcionários de atendimento e as fotos dos locais de trabalho que os funcionários tiraram para registro.

Se isso não bastasse, o banco de dados também incluía informações pessoais confidenciais das localizações físicas dos clientes. As informações supostamente incluíam localizações GPS de clientes, endereços IP, detalhes de cobrança, assinaturas e detalhes completos do cartão de crédito - incluindo o número do cartão, data de validade e código de segurança CVV.

https://twitter.com/autumn_good_35/status/1148240266626605056

Enquanto as informações dos clientes foram expostas, a própria plataforma do Fieldwork Software permaneceu vulnerável também. Isso ocorre porque o banco de dados também inclui links de login automático usados ​​para acessar o portal de serviço do Fieldwork. Em palavras simples, as chaves digitais para o sistema de back-end e administração da plataforma também estavam presentes no banco de dados. Desnecessário dizer que um hacker malicioso ou empreendedor pode facilmente penetrar na plataforma central do Fieldwork sem muita dificuldade. Além disso, uma vez dentro, um hacker pode facilmente interromper a plataforma e fazer com que ela perca sua reputação, alertaram os pesquisadores de segurança cibernética da vpnMentor,

' O acesso ao portal é uma informação particularmente perigosa. Um malfeitor pode tirar vantagem desse acesso não apenas usando o cliente detalhado e os registros administrativos ali armazenados. Eles também podem bloquear a empresa da conta, fazendo alterações no back-end . '

O software de trabalho de campo age rapidamente e bloqueia a violação:

Os pesquisadores de segurança cibernética da vpnMentor notaram categoricamente que o Fieldwork Software agiu muito rapidamente e corrigiu a violação de segurança. Essencialmente, o vpnMentor revelou a existência do vazamento de banco de dados para o Fieldwork antes da divulgação pública, e este fechou o vazamento em 20 minutos após o recebimento do e-mail dos pesquisadores.

Ainda assim, por um período de tempo não revelado, toda a plataforma do Fieldwork Software, seu banco de dados de clientes e seus clientes também correram alto risco de penetração e exploração. O que é preocupante é que o banco de dados continha não apenas informações digitais confidenciais, mas também informações sobre locais reais ou físicos. Segundo os pesquisadores que realizaram a pesquisa, o banco de dados continha “ horários de compromissos e instruções para acessar edifícios, incluindo códigos de alarme, códigos de cofre, senhas e descrições de onde as chaves foram escondidas . ” Concedido, esses registros foram eliminados após 30 dias de sua criação, mas ainda assim, os hackers poderiam organizar ataques em locais físicos com essas informações. Saber a localização das chaves e dos códigos de acesso permitiria aos invasores facilmente penetrar na segurança, sem recorrer à violência ou à força.

A ação rápida do Fieldwork Software é louvável, especialmente porque a notificação de violações de dados costuma ser recebida com severas críticas, negações e contra-acusações de sabotagem corporativa. Na maioria das vezes, as empresas dedicam seu próprio tempo para tapar as brechas de segurança. Houve alguns casos em que empresas negaram abertamente a existência de bancos de dados expostos ou inseguros . Por isso, é animador ver as empresas reconhecendo rapidamente a situação e agindo com agilidade.

Tag Cíber segurança