CenturyLink-klantbesonderhede wat aanlyn blootgestel is, het 2,8 miljoen rekords gelek
'N Databasis van 2,8 miljoen rekords wat sensitiewe inligting rakende honderde duisende kliënte van CenturyLink bevat, is aanlyn oopgelaat vir almal met internettoegang. Die rekords wat die databasis saamgestel het, was logs van 'n derdeparty-kennisgewingplatform wat deur CenturyLink gebruik is. Dit bevat verskeie persoonlike inligting, insluitend die naam, e-posadres, telefoonnommer en adres, sowel as rekeningspesifieke inligting.
CenturyLink is 'n Fortune 500-tegnologiemaatskappy wat 'n verskeidenheid produkte en dienste vir residensiële, besigheids- en ondernemingskliënte bied, insluitend internet-, telefoon-, kabel-tv, wolkoplossings en sekuriteit..
Comparitech het die blootgestelde MongoDB-databasis in samewerking met die veiligheidsnavorser Bob Diachenko ontdek. Die ontdekking is op 15 September gemaak en Diachenko het CenturyLink daardie dag in kennis gestel, maar die databasis het wel gedoen al baie maande blootgestel op daardie punt. Op 17 September is dit gesluit.
Nadat hulle CenturyLink in kennis gestel het en hulle tyd gegee het om hierdie probleem op te los, het hulle versoek dat ons hierdie verslag moet publiseer. Dit was om CenturyLink tyd te gee om 'n interne ondersoek te doen en die saak na die FCC te verwys voordat hulle hul kliënte in kennis stel.
Die databasis bestaan ​​uit API-logs met kliëntinligting en bevat meer as 2,8 miljoen rekords in totaal. Aangesien sommige kliënte veelvuldige rekords gehad het, is die geraamde aantal kliënte wat geraak word, baie laer, maar steeds in die honderdduisende.
CenturyLink het Comparitech die volgende verklaring gegee:
Sedert ons bewus geword het van hierdie situasie, het ons gewerk om te bevestig dat die veiligheidskwessie aangespreek is en ons ondersoek die voorval deeglik. Die betrokke inligting blyk hoofsaaklik kontakinligting te wees en ons het geen rede om te glo dat finansiële of ander sensitiewe inligting in die gedrang gekom het nie. CenturyLink is in die proses om met die betrokke kliënte te kommunikeer. Ons sal aanhou werk om klante-inligting te beskerm. CenturyLink neem die beskerming van ons kliënte se inligting ernstig op, en ons sal daarvoor sorg dat ons ons kliënte se vertroue verdien.
1 Tydlyn van die lekkasie van die data
3 Gevare van blootstelling aan data aan CenturyLink-kliënte
4 Oor CenturyLink
Tydlyn van die lekkasie van die data
Die MongoDB-databasis is in die openbaar beskikbaar gestel sodat daar geen verifikasie nodig was om toegang daartoe te verkry nie. Dit is wat ons opgemerk het:
17 November 2018: Die databasis is die eerste keer op Shodan geïndekseer.
15 September 2019: Die veiligheidsnavorser Bob Diachenko het die blootgestelde databasis ontdek. Hy het onmiddellik met CenturyLink kontak gemaak.
17 September 2019: Die databasis is gesluit.
17 Oktober 2019: Ons het kennisgewing ontvang dat die FCC-ondersoek afgehandel is
Dit blyk dat die databasis ongeveer tien maande lank blootgestel is voordat dit vir die publiek gesluit is.
Dit sou kwaadwillige partye meer as genoeg tyd gegee het om die data in verskillende skemas te gebruik.
Die blootgestelde MongoDB was verbonde aan 'n derdepartyverkoper. Dit was 'n multikanaal-kennisgewingplatform vir interne en eksterne kommunikasie, byvoorbeeld tussen kliënte, tegnici en agente.
Die tipe data wat blootgestel is, was API-logs van daardie kommunikasie. Die klantrekords was in gewone teks (nie geïnkripteer nie) en het die volgende gegewens:
Daar was onder meer inligting oor watter CenturyLink-dienste elke kliënt ingeteken het, byvoorbeeld breëband- of huishoudelike sekuriteit. Dit is onduidelik of die proefpersone woon- of sakekliënte was, maar op grond van die adresse blyk dit dat die meeste, indien nie almal nie, residensiële is.
Gevare van blootstelling aan data aan CenturyLink-kliënte
Die persoonlike inligting wat in die databasis blootgestel word, word nie as baie sensitief beskou nie. Daar is byvoorbeeld geen bankinligting of nommers van sosiale sekerheid nie. Dit gesê, 'n stel inligting soos die persoon se naam, e-posadres, telefoonnommer en posadres kan baie waardevol wees vir misdadigers.
Klante van CenturyLink moet op die uitkyk wees geteikende uitvissingskemas en verwante swendelary wat per e-pos, telefoon of selfs per pos uitgevoer kan word. Die wete dat u 'n kliënt van CenturyLink is en veral watter dienste u inteken, kan 'n bedrieër oortuigend voorhou as 'n maatskappyverteenwoordiger in 'n poging om u te help om addisionele inligting, soos u rekeningwagwoord of kredietkaartnommer, oor te gee.
Die inligting rakende rekeninge lyk op die oppervlak taamlik onskadelik. Gegewe die tydsduur waarvoor die databasis blootgestel is, is dit egter moontlik dat kwaadwillige partye die geleentheid gehad het om mettertyd individuele kliënte op te spoor. Die inligting wat in die logs opgeneem is, kan selfs help met fisieke misdade. Byvoorbeeld, die wete dat 'n tegnikus geskeduleer is om te besoek, kan 'n misdadiger die geleentheid gee om te probeer om 'n persoon se huis binne te gaan.
CenturyLink is vanaf die eerste kwartaal van 2019 die sesde grootste breëband-internetverskaffer in die VSA met ongeveer 4,8 miljoen intekenare.
CenturyLink is 'n hoëprofielonderneming en lewer al jare lank produkte en dienste aan beide residensiële en kommersiële kliënte. Dit verkoop onder meer internet-, telefoon- en TV-pakkette, sowel as sekuriteits- en wolkoplossings.
Gegewe die aard van die produkte en dienste van die onderneming, het baie kliënte CenturyLink-hardeware in hul huise of op hul sakepersele, soos internetmodems en sekuriteitstoestelle.
Die inhoud van die databasis dui aan dat CenturyLink 'n derdepartyverkoper gebruik het vir kommunikasie met en tussen kliënte, tegnici en ander lede van die onderneming..
Dit is nie die eerste keer dat CenturyLink betrokke is by 'n lekkasie met persoonlike inligting nie. In Maart 2018 is 'n groepsgedinggeding (saam met DirecTV) teen die onderneming van stapel gestuur deur 'n groep verbruikers wat ontdek het dat hul persoonlike inligting vrylik aanlyn beskikbaar was..
Die eiser wat die saak aanhangig gemaak het, het 'n internetsoektog na sy telefoonnommer gedoen en 'n kopie van die publiek beskikbaar vir 'n CenturyLink- en DirecTV-diensbundel ontdek. Dit het sy naam, adres, telefoonnommer en ander inligting vertoon. Ongeveer 1000 ander kliënte is later daardie jaar by die skikking ingesluit.
By Comparitech doen ons deurlopende veiligheidsnavorsing, insluitend die skandering van die internet om blootgestelde databasisse te ontbloot wat onbedoeld toeganklik is vir ongemagtigde partye. Ons tree dan so vinnig as moontlik op om die potensiële risiko vir die betrokke gebruikers te beïnvloed.
Bob Diachenko het jarelange ervaring in kuberveiligheid en gebruik sy uitgebreide kennis om lekkasies en oortredings te ontbloot en om die betrokke inligting te ontleed. Sodra hy inligting uitgelek het, neem hy die eienaar daarvan in kennis en stel die organisasie wat verantwoordelik is in kennis, sodat die inligting beveilig kan word.
Ons neem dinge dan 'n stap verder en ondersoek die samestelling van die uitgelekte data en op wie dit betrekking het. Ons stel ons bevindings saam in 'n verslag soos hierdie om diegene wat geraak word in kennis te stel. Deur die woord oor hierdie gevalle te versprei, is die hoop dat organisasies en gebruikers wat geraak word, stappe kan doen om toegang tot en misbruik van die inligting deur kwaadwillige partye te beperk..
Dit is slegs een in 'n reeks lekkasies en oortredings wat Comparitech en Diachenko ontbloot het. Hier is 'n paar ander waaraan ons gewerk het:
Byna 7,5 miljoen Adobe Creative Cloud-gebruikersrekords is blootgestel aan almal met 'n webblaaier, insluitend