Крупнейший сайт коллекционеров слил персональные данные почти миллиона пользователей

Cybernews обнаружил экземпляр Elasticsearch с 870 000 уникальных записей, которые были созданы Collectibles.com, крупным онлайн-рынком коллекционных карточек. База данных была заблокирована десятью днями позже.

Collectibles.com, крупный онлайн-рынок коллекционных карточек, подверг риску сотни тысяч пользователей, обнародуя их чувствительную информацию и делая их уязвимыми для кражи идентичности, мошенничества с переводами, фишинга и других угроз, утверждают эксперты.

Согласно исследовательской команде Cybernews, недавно обнаружившей и сообщившей о не защищенном паролем экземпляре Elasticsearch. Команда обнаружила кластер данных объемом 300 ГБ, содержащий более 870 000 записей, каждая из которых представляет собой отдельного человека. «Обнародование сведений о пользователях и истории транзакций представляет собой серьезный риск безопасности, что потенциально может привести к краже идентичности, целевому мошенничеству и взлому учетных записей», - отмечают они.

Ранее известный как Cardbase, Collectibles.com – это онлайн-маркетплейс и платформа управления для коллекционеров, позволяющая пользователям отслеживать, покупать и продавать различные коллекционные предметы, включая торговые карточки, комиксы и памятные вещи. В пресс-релизе 2024 года компания заявила, что у нее примерно 300 000 пользователей.

Данные, которые Collectibles.com сливал, включали полные имена людей, их адреса электронной почты, ссылки на фотографии профиля, другие сведения об учетных записях пользователей, продажи коллекционных карточек и транзакционные данные. Cybernews обратился в компанию, чтобы сообщить о своих выводах, «но, кроме автоматического ответа, компания не признала утечку данных», - заявили они. Экземпляр был закрыт десятью днями позже, хотя мы не знаем, как долго он оставался открытым до обнаружения. Мы также не знаем, обнаружили ли его какие-либо злоумышленники до Cybernews и, возможно, даже использовали эти данные для фишинга.

Открытые базы данных остаются одной из основных причин утечек данных. Многие организации хранят чувствительные данные клиентов в облачной базе данных, некоторые из которых не понимают, что в облаке безопасность является общей ответственностью. Исследователи безопасности и киберпреступники alike могут использовать инструменты, такие как Shodan или Elasticsearch, чтобы найти эти базы данных и использовать найденную там информацию для осуществления всевозможных мошеннических схем.