Раскрыт миллион файлов с конфиденциальной информацией из банка

В Сети обнаружена база данных с огромным объемом конфиденциальной информации финансовой тематики. Выяснилось, что скомпрометированная конфиденциальная информация принадлежит финтех-компании NorthOne.

Исследователь безопасности Йеремия Фаулер (Jeremiah Fowler) нашел в открытом доступе базу, содержащую большое количество документов в формате PDF. Эти файлы включали счета как от частных лиц, так и от компаний, которые использовали финансовое приложение для оплаты товаров и услуг. В инвойсах встречались имена, адреса электронной почты, физические адреса и другие персональные данные. Кроме того, документы включали заметки об основании платежа, а также о суммах и датах платежей. В некоторых документах была информация налогового учета, такая как идентификационные номера налогоплательщиков.

В ходе дальнейшего исследования найденных данных Фаулер установил, что база принадлежала NorthOne Bank, финансовой технологической компании из Северной Америки. На веб-сайте компании отмечается, что ее услугами пользуются более 320 тыс. организаций. Банковские услуги от ее имени предоставляет The Bancorp Bank.

По словам Фаулера, незащищенную паролем базу данных он обнаружил еще 19 января 2023 г. и немедленно сообщил в NorthOne Bank о раскрытии информации и потенциальной угрозе безопасности, но хранилище оставалось в открытом доступе как минимум до 31 января.

Как подчеркнул исследователь, любой, у кого был URL-адрес базы, мог просматривать или загружать документы из нее. Правда, были применены меры безопасности, препятствующие полной индексации файлов. Фаулер посчитал, что всего в базе было более миллиона файлов, помеченных как «рабочие». Внимательно изучив выборку из 1000 счетов, он обнаружил, что суммы в них варьируются от $60 до более чем $10 тыс. Люди оплачивали различные товары и услуги: ремонт дома, услуги для домашних животных, еду и напитки, медицинское обслуживание.

Если информация из базы попала в руки злоумышленников, то есть риски ее незаконного использования. Например, преступники, используя идентификационные номера работодателей (EIN), могут от имени той или иной компании требовать возмещения в Налоговой службе (IRS). Кроме того, зная историю транзакций и персональные данные, мошенники могут попытаться войти в доверительные отношения с тем или иным клиентом с целью получения платежей в той или иной форме.

Источник: Website Planet