Брокеры-растяпы: один файл раскрыл личные данные 272 миллионов американцев

Стали известны новые подробности утечки данных National Public Data (NPD). Компания, сотрудничающая с NPD и имеющая доступ к тем же базам данных, случайно опубликовала пароли к базам данных прямо на своем сайте.

Об инциденте стало известно в апреле 2024 года, когда хакер USDoD начал продавать похищенные данные NPD. В июле в интернет утекла информация о более чем 272 миллионах человек, включая имена, SSN-номера, адреса и номера телефонов. После публикации о масштабах утечки один из читателей KrebsOnSecurity сообщил, что связанный с NPD сервис проверки данных recordscheck[.]net случайно разместил на своём сайте архив с именами пользователей и паролями администратора. Архив был доступен на сайте до 19 августа.

В архиве содержались пароли в открытом виде для различных компонентов сайта recordscheck, который по своему внешнему виду и функционалу схож с nationalpublicdata. В архиве также нашлись доказательства того, что пользователям изначально назначался одинаковый шестизначный пароль, который многие так и не сменили.

Кроме того, эти пароли совпадают с теми, которые были скомпрометированы в предыдущих утечках, связанных с аккаунтами основателя NPD Сальваторе Верини. Верини подтвердил, что архив был удален, а recordscheck скоро прекратит свою работу. Верини также уточнил, что архив содержал старую версию сайта с неработающим кодом и паролями, и что расследование инцидента ещё продолжается.

Разработкой сайта занималась компания из Пакистана Creation Next, которая пока не дала комментариев.

В интернете уже появились несколько сайтов, которые позволяют пользователям проверить, была ли скомпрометирована их личная информация в результате данной утечки. Один из таких сайтов — npdbreach[.]com, а другой — npd[.]pentester[.]com. Оба ресурса показали, что данные NPD устарели и содержат множество неточностей.

Пользователям, чьи данные могли быть скомпрометированы, настоятельно рекомендуется заморозить свои счета, чтобы предотвратить возможное мошенничество. Также важно регулярно проверять счета и незамедлительно оспаривать любые подозрительные данные.

National Public Data — компания, которая собирает и обрабатывает большие объемы личной информации для предоставления различных услуг. Деятельность включает проверку записей из базы данных уголовных дел США, создание отчётов о прошлом личности, а также продажу данных мобильным приложениям и сайтам проверки биографий. По словам экспертов, утечка затронула не только живых людей, но и умерших, что ещё больше усложняет ситуацию.