CAM4, um site adulto de transmissão ao vivo, passou por uma violação de dados que expôs mais de 7 TB de informações pessoalmente identificáveis de seus membros.
O incidente foi descoberto Detetives de Segurança e Anurag Sen. O PII foi armazenado em mais de 10.88 bilhão de registros de banco de dados. A culpa é de um cluster Elasticsearch configurado incorretamente.
Violação de dados do CAM4: O que aconteceu?
A PII foi concedida porque um dos bancos de dados de produção do site foi deixado aberto para a Internet em um servidor Elasticsearch configurado incorretamente.. CAM4 tem aproximadamente 2 bilhão de visitantes por ano, com membros transmitindo mais de 1 milhão de horas de conteúdo adulto semanalmente. Isso faz com que 75,999 shows particulares sendo transmitidos todos os dias.
A boa notícia é que o banco de dados não seguro foi imediatamente retirado pela Granity Entertainment, a empresa-mãe irlandesa do CAM4, logo após o incidente ter sido relatado.
O que havia nos registros de membros do CAM4 expostos?
Pelo visto, os registros do usuário do CAM4 continham várias PII em diferentes combinações, incluindo nomes, orientação sexual, e-mails, endereços IP, transcrições de mensagens de e-mail, e até conversas particulares de usuários.
Mais precisamente, o banco de dados continha os seguintes tipos de informações confidenciais:
- Nome e sobrenome
- Endereço de e-mail
- País de origem
- Datas de inscrição
- Preferência de gênero e orientação sexual
- Informação de dispositivo
- Detalhes diversos do usuário, como idioma falado
- Nomes de usuários
- Logs de pagamentos, incluindo o tipo de cartão de crédito, valor pago e moeda aplicável
- Conversas com usuários
- Transcrições de correspondência por email
- Conversas entre usuários
- Transcrições de bate-papo entre usuários e CAM4
- Informações do token
- Hash de senha
- endereços IP
- Logs de detecção de fraude
- Logs de detecção de spam
além do que, além do mais, 11 milhões de registros também incluíram pelo menos um endereço de email de provedores de email, como o Gmail, iCloud, e Hotmail. Isso contribui para uma abundância de informações altamente sensíveis, associado a um site adulto.
Residentes dos EUA também expostos no vazamento do CAM4
Após uma análise detalhada, os pesquisadores de segurança descobriram que 6.5 milhões de usuários comprometidos do CAM4 são residentes nos Estados Unidos. Outras nacionalidades afetadas incluem usuários brasileiros e italianos, de acordo com Relatório de detetives de segurança:
NOS, Os usuários brasileiros e italianos foram os mais afetados, embora o número exato de registros de e-mail seja difícil de avaliar com precisão devido à duplicação de várias entradas. Como esperado, países como os Emirados Árabes Unidos, A Arábia Saudita e o Irã não registraram nenhuma entrada, dado que esses países proíbem o conteúdo adulto internamente.
Violação de dados do CAM4: as consequências
A disponibilidade de logs de detecção de fraude poderia permitir que hackers mal-intencionados entendessem melhor como os sistemas de segurança cibernética foram configurados, os pesquisadores notaram. Esse conhecimento pode então ser explorado como uma ferramenta de verificação eficiente para atores de ameaças, permitindo um maior nível de penetração do servidor.
Ataques maliciosos que envolvem malware também podem ser ativados, Como "os dados de back-end do site podem ser aproveitados para explorar o site e criar ameaças, incluindo ataques de ransomware”.
Finalmente, o maior risco está associado aos aspectos financeiros e de reputação dos usuários comprometidos do CAM4. Golpes de chantagem (scams sextortion) pode ser lançado contra as vítimas, como já vimos acontecer em outros casos semelhantes.
Em outubro 2019, Pesquisadores de segurança do Data Viper, Bob Diachenko e Vinny Troia descobriu um servidor Elasticsearch aberto que continha “um inédito 4 bilhão de contas de usuário que englobam mais de 4 terabytes de dados.O servidor estava acessível sem a necessidade de autenticação, que expostos os dados de mais do que 1.2 bilhão de indivíduos únicos.
Milena Dimitrova
Um escritor inspirado e gerente de conteúdo que está com SensorsTechForum desde o início do projeto. Um profissional com 10+ anos de experiência na criação de conteúdo envolvente. Focada na privacidade do usuário e desenvolvimento de malware, ela acredita fortemente em um mundo onde a segurança cibernética desempenha um papel central. Se o senso comum não faz sentido, ela vai estar lá para tomar notas. Essas notas podem mais tarde se transformar em artigos! Siga Milena @Milenyim
Me siga: