7TB δεδομένων των χρηστών και των μελών του δημοφιλούς ιστότοπου live streaming CAM4 για ενηλίκους, έχουν διαρρεύσει.
Η διαρροή ήταν αποτέλεσμα ενός σφάλματος, που άφησε μία από τις βάσεις δεδομένων του ιστότοπου ευάλωτη και μπορούσε κάποιος να έχει ανοιχτή πρόσβαση από το internet.
Το CAM4 έχει περίπου 2 δισεκατομμύρια επισκέπτες κάθε χρόνο και τα μέλη του μεταδίδουν πάνω από 1 εκατομμύριο ώρες περιεχομένου για ενήλικες κάθε εβδομάδα, με πάνω από 75.999 ιδιωτικές εκπομπές να μεταδίδονται καθημερινά.
Εκτέθηκαν ιδιωτικές συνομιλίες και διευθύνσεις IP
Η ερευνητική ομάδα ασφαλείας Security Detectives, με επικεφαλής τον Anurag Sen, ήταν αυτή που πρώτη εντόπισε την εκτεθειμένη βάση δεδομένων του CAM4, η οποία στη συνέχεια κατέβηκε άμεσα από την μητρική της εταιρεία Granity Entertainment.
Τα δεδομένα που διέρρευσαν, περιλάμβαναν πολλές πληροφορίες για τους χρήστες του ιστότοπου όπως ονόματα, σεξουαλικό προσανατολισμό, email, διευθύνσεις IP ακόμα και ιδιωτικές συνομιλίες των χρηστών.
Επιπλέον, 11 εκατομμύρια από τα σχεδόν 11 δισεκατομμύρια αρχεία που βρέθηκαν στην εκτεθειμένη βάση δεδομένων, περιείχαν τουλάχιστον μία διεύθυνση ηλεκτρονικού ταχυδρομείου από μια ποικιλία παρόχων email, συμπεριλαμβανομένων των gmail.com, icloud.com και hotmail.com.
Με βάση τα αποτελέσματα που αναλύθηκαν από τη μη ασφαλή βάση δεδομένων του CAM4, πάνω από 6,5 εκατομμύρια από τους χρήστες που εκτέθηκαν ήταν κάτοικοι των ΗΠΑ, πάνω από 5,3 εκατομμύρια ήταν από τη Βραζιλία και 4,8 εκατομμύρια από την Ιταλία. Επιπλέον, 4,1 εκατομμύρια Γάλλοι και 3 εκατομμύρια Γερμανοί επηρεάστηκαν επίσης.
Τα δεδομένα αυτά θα μπορούσαν ενδεχομένως να χρησιμοποιηθούν από επιτιθέμενους, ως μέρος ενός ευρέος φάσματος επιθέσεων που στοχεύουν χρήστες και μέλη του CAM4, από εξαιρετικά πειστικές επιθέσεις ηλεκτρονικού ψαρέματος και εκστρατείες εκβιασμού έως την κλοπή ταυτότητας και διάφορους τύπους απάτης.
Οι περιπτώσεις διαρροής δεδομένων από ιστότοπους ενηλίκων έχουν σοβαρό αντίκτυπο στους χρήστες, καθώς οι επιτιθέμενοι μπορούν να εκβιάζουν τα θύματά τους για πολύ καιρό, απειλώντας τα ότι θα αποκαλύψουν τα στοιχεία στους συζύγους τους. Επιπλέον έχουν παρατηρηθεί περιπτώσεις που οι κακόβουλοι παράγοντες έχουν επιτεθεί και στους ανυποψίαστους συζύγους. Μάλιστα υπήρξαν περιστατικά όπου τα θύματα του εκβιασμού αυτοκτόνησαν.
Για να μειωθούν οι πιθανότητες να συμβεί κάτι τέτοιο, η Elastic NV συμβουλεύει τους διαχειριστές βάσεων δεδομένων να ασφαλίζουν τα ElasticSearch clusters τους “αποτρέποντας τη μη εξουσιοδοτημένη πρόσβαση, με προστασία κωδικού πρόσβασης, έλεγχο πρόσβασης βάσει ρόλου και φιλτράρισμα IP”, καθώς και με τη ρύθμιση κωδικών πρόσβασης για ενσωματωμένους χρήστες. Στον ιστότοπο της Elastic NV, οι διαχειριστές μπορούν επίσης να βρουν έναν γρήγορο οδηγό σχετικά με τον τρόπο ασφάλισης των ElasticSearch clusters.
