Половина баз данных в Рунете допускает неавторизованный доступ

И большая часть этих баз принадлежит e-commerce, финтех и другим стартап-проектам. Есть смысл проверить нет ли там и вас.

Мы в компании DeviceLock занимаемся борьбой с утечками данных и в последнее время все чаще сталкиваемся с тем, что данные (включая персональные) попадают в открытый доступ не в результате взлома или выгрузки злоумышленниками, а буквально «валяются» на каждом шагу и чаще всего в виде неправильно сконфигурированных баз или API, доступ к которым открыт для всех подряд.

Мы даже сформировали небольшое подразделение, которое занимается исключительно поиском и анализом открытых баз данных, и вот что нам удалось найти с начала этого года. Мы обследовали более 2 тыс. серверов, использующих MongoDB, Elasticsearch и Yandex ClickHouse, 52% которых предоставляли возможность неавторизованного доступа, а 10% при этом содержали персональные данные или коммерческую информацию компаний. При этом 4% уже были до этого взломаны хакерами и содержали требования о выкупе скопированной информации.

Идентификация баз оказалась большой проблемой, но среди баз данных, владельцев которых нам удалось установить, оказались:

И кроме этого еще открытые данные сотен интернет-магазинов и различных информационных сайтов. До сих пор каждый день мы находим от одной до десятка новых открытых баз.

В чем причина такого количества проблем? На мой взгляд, главное - это низкая квалификация админов и отсутствие в компаниях хоть каких-то процедур аудита информационной безопасности. Я не говорю о пен-тестах, но хотя бы проверка баз, расположенных за пределами корпоративного периметра на свободный доступ, должна быть частью любого чек-листа. Однако этого не делается ни самими компаниями, ни их подрядчиками, разрабатывающими различные веб-проекты.

О найденных открытых базах мы сообщаем владельцам и часть из них довольно быстро реагирует, закрывая доступ. Однако немалая часть не отвечает или решает довольно долго, в результате есть немало случаев, когда уже после нашего оповещения хакеры находили эти сервера, копировали информацию и выставляли ее на продажу. Еще некоторая (хорошо, что не слишком большая) часть серверов принадлежит непонятно кому и даже непонятно поддерживается ли в настоящий момент. И с этим что-то нужно делать.

Сначала мы планировали предложить Роскомнадзору, в чью сферу входит надзор за соблюдением 152-ФЗ «О персональных данных», сделать хоть что-то полезное и выработать процедуру блокировки хотя бы брошенных баз, содержащих персональные данные. Например, через хостера можно направлять владельцу базы уведомление, а если через неделю база не будет закрыта, блокировать ее. Но похожая норма вошла в принятый закон о «Суверенном интернете» и может даже начнет когда-то применяться.

А пока советую всем админам проверить все свои базы на анонимный доступ и читать в телеграме наш канал «Утечки информации», чтобы, если мы найдем вашу базу, узнать об этом первыми.