Национальным координационным центром информационной безопасности была зафиксирована уязвимость интернет ресурса Банка второго уровня. Нашли архив в 500 мб., доступный для скачивания неавторизованным пользователям содержащий исходный код веб-приложения.
Архив содержал файлы с информацией клиентов и сотрудников банка:
138,5 тыс. записей (ФИО, телефон, продукт, событие, филиал, отделение, агент, дата получения);
11,9 тыс. записей (ФИО, имя пользователя, адрес эл. почты, пароль, должность, отделение и т.д.);
835 записей (ФИО, дата рождения, номер телефона, пароль, отделение и т.д.).
учетные данные от БД, почты, LDAP и т. д.
учетные данные от LDAP
Использование полученных учетных данных позволило получить доступ к VPN, а также к внутренним сервисам банка.
Банк не входит в топ 5, но входит в топ 10 по размеру активов. На лицо результаты экономии на информационной безопасности.
Эта история напомнила мне события 2009 года, когда один из сотрудников банка, где я работал, принес флешку с вирусом. Доступы к usb портам не были отключены, а все компьютеры центрального офиса состояли в одной сетке.
В итоге примитивный троян парализовал на двое суток парализовал работу крупного банка, часть данных, в тч состояние счетов клиентов пришлось восстанавливать с бумажных носителей и «по памяти». Визги свиньи Касперского до сих пор звучат в ушах.
Порты быстро заблокировали, но забыли проработать ios устройства, iphone подключенный через кабель мог работать переносным флешдрайвом. В итоге вирус снова принесли и история с трояном повторилась.
Вывод простой, если вы управляете миллиардами, никогда и ни при каких обстоятельствах не экономьте на ИБ.