Nie ma co. Można zaryzykować stwierdzenie, że nie ma tygodnia bez choćby jednego poważnego wycieku. Niestety tego typu sytuacje stają się "normą", choć rzecz jasna z jakąkolwiek normalnością nie mają zbyt wiele wspólnego. Co gorsza, nie możemy z tym zrobić zupełnie nic jako użytkownicy.
Bob Diachenko oraz Vinny Troia, eksperci ds. cyberbezpieczeństwa znaleźli niezabezpieczoną, dostępną publicznie bazę danych w platformie MongoDB, która zawierała w sobie 150 GB rekordów w plaintekście. Te zawierały 763 mln unikalnych adresów e-mail, które zostały okraszone (co gorsza) m. in. szacowanymi zarobkami, zainteresowaniami, zatrudnieniem, adresami, linkami do profilów społecznościowych. Właścicielem bazy danych jest serwis Verifications.io, który w tym samym dniu, w którym uzyskał on informacje o wycieku, zdjął bazę z sieci.
I to jest bardzo dobre pytanie. Verifications.io to jeden z wielu serwisów, który zajmuje się "weryfikowaniem baz mailingowych". Załóżmy, że firma A chce odpalić kampanię content marketingową z użyciem mailingu. Jednak adresów, na które musi napisać jest całe mnóstwo - trzeba je zweryfikować: czy są one prawidłowe i działające? Zamiast testować to samemu, dokonuje się outsourcingu tego typu operacji, myśląc o takich firmach jak Verifications.io. Te przenoszą na siebie ryzyko wciągnięcia ich do czarnych list spamerów - i słusznie, bo ich weryfikacja zasadniczo ociera się o wysyłanie SPAM-u; odezwanie się automatu (programu zarządzającego pocztą na serwerze) z informacją, że wiadomość nie mogła zostać dostarczona (bo dany adres nie istnieje) jest bardzo jednoznaczne i pozwala na uznanie konkretnego maila za nieprawidłowy.
Firma, która korzysta z usług "walidatorów" otrzymuje już "przerobioną" bazę tych adresów, na które można śmiało wysyłać mailing i rzeczywiście zostanie on dostarczony. Zarabia na tym walidator, bo realizuje usługę dla innego przedsiębiorstwa. Korzysta na tym przedsiębiorstwo, bo ma zoptymalizowaną bazę adresów e-mail.
809 mln rekordów dotyczących emali niestety "doposażono" również w bardzo wrażliwe dane. Nieobecne są tam np. takie rzeczy jak numery kart wraz z kodami, czy też hasła do usług - aczkolwiek gdyby założyć, że baza została przejęta również przez cyberprzestępców, można domniemywać, że ci mogą wykorzystać je do tworzenia "spersonalizowanych" scamów, w których może udać im się zarobić niemałe pieniądze. Obecnie nie ma wiedzy na temat tego, czy baza danych została w ten sposób wykorzystana - wiadomo jednak, że przy odpowiednich umiejętnościach, dotarcie do niej nie było trudne. Zapewne cyberprzestępcy monitorują takie miejsca jak MongoDB, w których nader często dochodzi do niebezpiecznych w skutkach wycieków.
Na pewno informacje z Verifications.io pochodziły od klientów, którzy postanowili zlecić weryfikację adresów e-mail weryfikatorowi. A zatem, Wasz adres e-mail może być elementem tego incydentu - w zależności od tego, czy korzystaliście z usług Verifications.io i niestety... nie możecie z tym zbyt wiele zrobić.
Użytkownicy coraz częściej przejmują się cyberbezpieczeństwem (jak wskazuje badanie - głównie "tylko" tak mówią...), rośnie generalnie świadomość takich zagrożeń. Nie koresponduje to jednak z mniejszą ilością takich wycieków - jest ich wręcz coraz więcej. To oznacza, że lata zaniedbań oraz braku transparentności zaczynają owocować tu i teraz i najpewniej nie osiągnęliśmy jeszcze pod tym względem apogeum. Trudno będzie jednak wskazać moment, w którym ten trend się odwróci - głównie z uwagi na cały czas rosnącą ilość danych, które udostępniamy przeróżnym firmom.
Hej, jesteśmy na Google News - Obserwuj to, co ważne w techu
