Une fuite de presse britannique confidentielle et autre

L'équipe de recherche en cybersécurité vpnMentor dirigée par Noam Rotem et Ran Locar a trouvé un seau S3 divulgué avec plus de 270 000 enregistrements et plus de 343 Go sur des serveurs Amazon appartenant à Doxzoo. Cette violation de données affecte plus de 100 000 utilisateurs de violations de droits d'auteur ainsi que l'exposition de données militaires américaines et britanniques.

À propos de Doxzoo

Doxzoo est une société de production d'impression et de reliure de documents basée au Royaume-Uni, mais sert des clients dans le monde entier depuis 2014. Les violations de données incluent l'Université Elite, les unités militaires américaines et britanniques, les sociétés Fortune 500 et bien d'autres.

Doxzoo revendique la certification ISO de sécurité, entre autres, sur son site Web, et se targue de garder les documents de ses clients «entre de bonnes mains».

Chronologie de la découverte et réaction du propriétaire

Parfois, le degré de violation des données et le propriétaire des données sont clairs et le problème a été résolu rapidement. Mais maintenant c'est rare. Plus important encore, il a besoin de quelques jours d'enquête avant de comprendre qui fuit ou qui fuit des données.

Pour comprendre les violations et leur impact, vous devez être prudent et investir votre temps. Google travaille dur pour publier des rapports précis et fiables, afin que tous ceux qui les lisent puissent comprendre leur sérieux.

Certaines parties concernées rejettent les faits et ignorent l'étude ou la réduisent. Nous devons donc être minutieux et nous assurer que tout est correct et vrai.

Dans ce cas, Doxzoo a été facilement identifié comme le propriétaire de la base de données et les résultats ont été contactés par la société. Cependant, Doxzoo n'a pas répondu à nos tentatives de communication. J'ai arrêté la fuite de données uniquement après avoir contacté Amazon.

  • Date trouvée: 22 janvier 2020
  • Date de notification de l'entreprise: 26 janvier 2020
  • Date de notification à l'Amazone: 5 février 2020
  • Date limite de regroupement: 11 février 2020

Exemples d'entrées de base de données

Doxzoo compte une poignée de clients renommés qui effectuent une variété de travaux d'impression, y compris des scripts et des scénarios complets, des livres sur le champ de bataille, des plans de bien-être payés et des manuels militaires. De plus, des personnes qui commandent des albums de famille (avec des photos d'enfants), nous demandons des souvenirs uniques, etc. qui peuvent saper les photos de la mariée. En outre, il semble que Doxzoo scanne régulièrement votre pièce d'identité avec photo (par exemple, votre passeport) et vous demande de remplir votre commande.

Matériel militaire classé

Voici une liste de données que notre équipe de recherche peut découvrir et vérifier:

Données affectées

  • PII
    • Déclaration
    • Courtship
    • Adresse e-mail
  • Scan du passeport
  • PCI
    • Mode de paiement
    • Quatre derniers chiffres du mode de paiement
  • Détails de la commande (article de commande, date, montant / reçu)
  • Publications protégées par le droit d'auteur
    • Cog
    • Scénario
    • Script pour l'une des meilleures séries télévisées du monde
  • Programmes payants
    • Matériel de cours universitaire (y compris les institutions d'élite)
    • Plan de régime et d'exercice
    • Classe de préparation aux examens
  • Guide de l'enseignant avec réponses aux examens
  • Certification, diplôme et diplôme
  • Documents médicaux, journaux, etc.
  • Composition musicale
  • Texte religieux
  • Plan d'étage détaillant divers éléments de sécurité
  • Documents militaires internes (y compris les informations de classification)


Matériel de cours collégial


Photos privées dans des albums imprimés

Documents internes de l'entreprise

Pays touchés

C'est le pays où j'ai trouvé des clients Doxzoo inclus dans la fuite, mais je n'ai pas ouvert chaque fichier et il peut y avoir plus de clients affectés par d'autres pays.

  • États-Unis d'Amérique
  • Britannique
  • Sri lanka
  • Nigéria
  • Inde

Passeport du client

Titres professionnels personnels

Impact de la fuite de données

Informations confidentielles

Les articles contenant cette fuite contiennent souvent des informations personnelles et / ou confidentielles. L'engagement envers les installations et les systèmes de sécurité est un argument de vente important pour les clients, comme les militaires, et les violations de ces garanties ne sont pas seulement des défaillances de service, mais peuvent également poser un risque pour la sécurité.

Usurpation d'identité

Les noms, les dates de naissance et même les dossiers de détention personnels peuvent fournir aux criminels suffisamment d'informations pour voler l'identité de la personne.

Le vol d'identité ne signifie pas toujours que les voleurs sont certains individus dans la vie réelle. Vous pouvez également être victime d'une arnaque par le crédit, des comptes bancaires vides et une arnaque contre la famille, les amis et les autres employés des victimes de vol d'identité.

Violation du droit d'auteur

Quiconque a accès aux nombreux documents protégés par des droits d'auteur contenus dans cette base de données peut facilement télécharger le document sans payer le contenu, le télécharger illégalement sur le réseau torrent et le mettre gratuitement à la disposition de tous.

Conseils d'experts

Doxzoo aurait pu facilement éviter ces fuites s'il avait pris des mesures de sécurité de base pour protéger ses seaux S3. Ceux-ci incluent, mais ne sont pas limités à:

  1. Protégez votre serveur.
  2. Mettez en œuvre les règles d'accès appropriées.
  3. Ne divulguez pas les systèmes qui ne nécessitent pas d'authentification sur Internet.

Toute entreprise, quelle que soit sa taille, peut reproduire les mêmes étapes. Pour plus d'informations sur la façon de protéger votre entreprise, consultez notre guide sur la protection des sites Web et des bases de données en ligne contre les pirates.

Pour les personnes touchées par la fuite

Contactez directement Doxzoo pour savoir comment ils résolvent ce problème et prévoyez de mieux protéger vos données à l'avenir. Si vous possédez des informations personnelles sur la plateforme Doxzoo et que vous êtes préoccupé par la façon dont ces violations vous affectent ou par d'autres vulnérabilités de données, lisez notre guide complet sur la confidentialité en ligne pour mieux vous protéger en ligne à l'avenir.

Il montre les différentes façons dont les cybercriminels ciblent les utilisateurs d'Internet et les mesures qu'ils peuvent prendre pour rester en sécurité. Vous pouvez également utiliser un VPN pour masquer certaines données collectées par Doxzoo. Le VPN masque l'adresse IP et le pays de résidence, offrant une couche de protection supplémentaire même en cas de fuite de données.

Comment et pourquoi nous avons constaté la violation

L'équipe de recherche vpnMentor a trouvé une violation de la base de données Doxzoo dans le cadre d'un énorme projet de cartographie Web. Les chercheurs utilisent l'analyse des ports pour examiner des blocs IP spécifiques et tester les trous ouverts du système pour détecter les faiblesses. Chaque trou est inspecté pour détecter les fuites de données.

Lorsqu'il détecte une violation de données, il utilise une technologie professionnelle pour vérifier l'identité de la base de données. L'entreprise est alors informée de la violation. Si possible, il prévient également les personnes touchées par la violation.

Le compartiment S3 de Doxzoo était complètement non sécurisé et n'était pas chiffré, j'ai donc pu y accéder. L'équipe peut accéder à n'importe quel fichier hébergé dans la base de données à l'aide d'un navigateur Web.

Le but de ce projet de cartographie Web est d'aider tout le monde à utiliser Internet en toute sécurité. En tant que hacker éthique, nous devons informer l'entreprise si nous trouvons des failles dans la sécurité en ligne.

Mais cette éthique signifie aussi que nous sommes responsables du public. Cela est particulièrement vrai si les violations de données de l'entreprise contiennent d'énormes quantités d'informations personnelles et sensibles.

Rapports d'entreprise et de transfert

vpnMentor est le plus grand site Web d'examen de VPN au monde. Notre laboratoire est un service gratuit qui aide les communautés en ligne à se défendre contre les cybermenaces et à éduquer les organisations à protéger leurs données.

Dans le passé, LightInTheBox a trouvé des violations qui ont compromis les données des clients. Il a également récemment révélé qu'une société détenue par une grande chaîne hôtelière AccorHotels a dévoilé plus de 1 To de données clients. Vous pouvez également lire les rapports de fuite VPN et les rapports de statistiques de confidentialité des données.

Laisser un commentaire

Votre adresse de messagerie ne sera pas publiée. Les champs obligatoires sont indiqués avec *