Daftar pantauan Dow Jones tentang bisnis berisiko tinggi, ditemukan di database tanpa jaminan

Daftar pantauan Dow Jones yang terdiri atas 2,4 juta bisnis, politisi, dan individu yang berisiko dibiarkan tidak terlindungi di server cloud publik.

Peneliti keamanan Bob Diachenko menemukan database Elasticsearch 4.4GB yang tidak dilindungi penuh dengan lebih dari 2,4 juta catatan orang dan bisnis yang dianggap berisiko tinggi oleh Dow Jones. Perusahaan pihak ketiga meninggalkan daftar pantauan Dow Jones ini di server publik tanpa kata sandi untuk melindunginya.

Daftar pantauan yang dipatenkan, yang dihosting di Amazon Web Services (AWS), termasuk “orang-orang dengan minat khusus,” politisi saat ini dan masa lalu, orang-orang dengan hubungan terorisme, perusahaan dan individu yang terkena sanksi, serta mereka yang dihukum karena kejahatan keuangan, menurut TechCrunch.

Diachenko menjelaskan 2.418.862 catatan tanpa jaminan "berisi identitas pejabat pemerintah, politisi, dan orang-orang yang memiliki pengaruh politik di setiap negara di dunia," serta "kerabat mereka, rekan dekat dan perusahaan yang terhubung dengan mereka."

Basis data yang bocor, yang dikumpulkan dari berita yang tersedia untuk umum dan arsip pemerintah, "diindeks, ditandai, dan dapat dicari." Catatan tersebut dapat mencakup nama, alamat, tanggal lahir, lokasi, dan bahkan foto. Catatan sampel yang terlihat di TechCrunch dari seseorang yang ditandai sebagai sanksi dan dengan tautan terorisme termasuk deskripsi fisik, bahasa utama, pekerjaan, dan catatan oleh UE, PBB dan Layanan Pengawasan Keuangan Federal.

Dow Jones mengatakan kepada Diachenko, "Pada saat ini, tinjauan kami menunjukkan ini hasil dari kesalahan konfigurasi pihak ketiga AWS server, dan data tidak lagi tersedia." Dow Jones menolak untuk mengomentari catatan ketika TechCrunch bertanya apakah kebocoran akan dilaporkan kepada regulator AS dan otoritas perlindungan data Eropa.

Berita cybersecurity lainnya
Dijual di Dark Web: Akses admin yang memungkinkan penjahat mengontrol perusahaan kereta api Cina

Perusahaan intelijen ancaman Israel Sixgill, yang mendeteksi ancaman di Dark Web, menemukan "kekacauan dalam perjalanan." Menurut email tentang penemuan itu, "aktor ancaman berpengalaman" adalah "menjual akses admin ke perusahaan kereta api Cina. Akses ini akan memungkinkan para penjahat untuk memanipulasi sistem kontrol kereta, yang mempengaruhi lebih dari satu juta penduduk yang tinggal di pusat kota di Provinsi Hubei. ”

Bulan lalu, Sixgill menemukan akses ke sistem manajemen konten yang dijual di forum hacker berbahasa Rusia. Satu penjualan menawarkan calon pembeli kemampuan untuk mengedit atau mengunggah cerita baru di sebanyak 1.425 situs A.S.

Bayangkan seorang aktor yang buruk mendapatkan akses untuk mengendalikan berita; berita yang tersedia untuk umum dapat diambil oleh orang-orang seperti Dow Jones atau organisasi lain yang menjual daftar pantauan. Agar adil, meskipun, daftar pantauan Dow Jones dianggap berharga, menurut Diachenko, karena berfokus "pada sumber-sumber premium dan terkemuka." Tentu saja, jika akses CMS yang dibeli adalah ke situs berita terkemuka ...?

Alat peretasan ponsel cerdas Cellebrite dijual kembali secara online dengan harga murah

Inilah kesempatan Anda untuk berperan sebagai Johnny Law Officer dan mendapatkan alat peretasan ponsel cerdas yang digunakan oleh FBI dan lembaga penegak hukum lainnya dengan harga super murah. Meskipun benar bahwa perangkat tersebut dapat digunakan, juga benar bahwa itu dapat berisi informasi pribadi dan sensitif lainnya yang tidak pernah dihapus dari alat peretasan.

Perangkat Cellebrite, yang ketika biaya baru LEA pemerintah sekitar $ 6.000, dapat ditemukan di eBay untuk antara $ 100 hingga $ 1.000 per unit, Forbes melaporkan. Pencarian cepat di eBay kemudian menunjukkan perangkat Cellebrite yang dimiliki sebelumnya dengan catu daya serendah $ 49,99.

Peneliti keamanan Matthew Hickey, alias Hacker Fantastic, mengatakan kepada Forbes bahwa ia membeli selusin perangkat seperti itu bulan ini dan menemukan mereka masih berisi data tentang jenis perangkat yang dicari, jenis data yang dihapus, kode IMEI dan pengidentifikasi telepon lainnya. Dia kemudian tweeted screenshot dari pengingat peralatan Cellebrite, yang menyatakan bahwa penjualan kembali peralatan Cellebrite tidak diperbolehkan tanpa persetujuan tertulis dari perusahaan, “karena dimungkinkan untuk perangkat ini (termasuk perangkat lama seperti Sentuhan yang dihentikan) untuk mengakses informasi pribadi."