Один из крупнейших VoIP-сервисов в США хранил данные пользователей в открытом виде

Калифорнийская компания VOIPO, предоставляющая услуги VoIP-телефонии, хранила десятки гигабайтов данных своих клиентов в открытом доступе. Миллионы записей о звонках, SMS- и MMS-сообщения и незашифрованные учетные данные для внутреннего пользования хранились в незащищенной базе данных ElasticSearch, доступ к которой мог получить любой желающий.

VOIPO является одним из крупнейших провайдеров VoIP-сервисов в США. Джастин Паине (Justin Paine) из CloudFlare обнаружил открытую БД на прошлой неделе с помощью поисковика Shodan. Исследователь уведомил о своей находке главу VOIPO 8 января, и в тот же день база данных, содержащая информацию пользователей за четыре года, была закрыта.

В БД содержалось 6,7 млн записей о звонках, начиная с июля 2017 года, 6 млн SMS- и MMS-сообщений, начиная с декабря 2015 года и 1 млн записей реестра с ключами API для внутренних систем, начиная с июня 2018 года. Записи о звонках содержали такую информацию, как временные метки и продолжительность разговоров, а также частичные сведения о звонивших. В БД также хранилось полное содержимое SMS- и MMS-сообщений.

По словам исследователя, переоценить опасность подобной утечки довольно сложно. Если VOIPO не использовала межсетевые экраны (это факт остается неизвестным) и/или корпоративную VPN, утекшие имена хостов вместе с корпоративными логинами и паролями могут привести к «полной компрометации всей продукционной системы».

В ответ на сообщение исследователя представители VOIPO заявили, что данные находились на сервере разработки, случайно оказавшемся в открытом доступе. В компании, однако, признали достоверность утекших данных.