Himoyalanmagan MongoDB serveri tufayli karta egalari ushlandi

Mutaxassislar o’g’irlangan kredit/debet kartalari haqidagi ma’lumotlarni o’z ichiga olgan ma’lumotlar bazasiga ega MongoDB serverini topdilar.

Ilgari, Kromtech Security mutaxassislari o’z ma’lumotlar bazalarini yetarlicha himoya qila olmagan kompaniyalar bilan bog’liq ma’lumotlarning buzilishi haqida bir necha bor xabar berishgan. Yaqinda tadqiqotchilar biroz g’ayrioddiy holatga duch kelishdi: ular o’g’irlangan kredit/debet karta ma’lumotlarining nisbatan yaqinda olingan ma’lumotlar bazasini o’z ichiga olgan himoyalanmagan MongoDB serverini onlayn topdilar. Ma’lumotlar bazasida karta raqamlari, amal qilish muddati va uch xonali karta tasdiqlash kodlari (CCV) bilan jami 150 833 ta noyob yozuvlar mavjud edi. Mutaxassislar batafsil tekshiruv o’tkazdilar va bu murakkab avtomatlashtirilgan tizimdan foydalangan holda o’g’irlangan kartalardan foydalangan holda pul yuvish operatsiyasi ekanligini aniqladilar. Ma’lum bo’lishicha, bir guruh hujumchilar karta operatsiyalarini amalga oshirish va keyinchalik o’yin ichidagi aktivlarni onlayn qayta sotish uchun soxta Apple xizmat akkauntlari va xayoliy o’yin profillaridan foydalanganlar. Uchta o’yin nishonga olingan: Clash of Clans, Clash Royale va Marvel Contest of Champions. Ularning auditoriyasi jami 250 milliondan ortiq foydalanuvchini tashkil etadi.

Guruh soxta Apple ID akkauntlarini yaratish uchun maxsus vositadan foydalangan va hisoblarga o’g’irlangan kredit karta ma’lumotlarini qo’shgan. Keyin hujumchilar jailbreak qilingan iOS qurilmasida yana bir vositani ishga tushirishgan, o’yinlarni o’rnatishgan, o’yin ichidagi akkauntlarni yaratishgan va turli xil bonuslarni sotib olishgan, keyin ularni haqiqiy pulga qayta sotishgan.

Tadqiqotchilar oʻz xulosalari haqida AQSh Adliya vazirligi, Supercell, Clash of Clans va Clash Royale oʻyinlarini ishlab chiquvchisi va Apple kompaniyasini xabardor qilishdi. Ularning taʼkidlashicha, iOS ishlab chiqaruvchisi hisoblarga qoʻshilgan kredit karta maʼlumotlarini tekshirish uchun xavfli mexanizmdan foydalanadi va shu bilan hujumchilarning ekspluatatsiyasini osonlashtiradi.