В Сеть могли попасть исходные коды сервиса Газпромбанк Инвестиций

В Сеть могли попасть исходные коды сервиса Газпромбанк Инвестиций

В Сеть могли попасть исходные коды сервиса Газпромбанк Инвестиций

В открытый доступ выложили исходные коды, предположительно, сервиса инвестиций на фондовом и валютном рынке — “Газпромбанк Инвестиции”. В файлах есть и персональные данные. Выгрузку опубликовали на том же форуме, куда накануне “слили” исходный код “Яндекса”.

О новой порции потери данных сообщает Telegram-канал “Утечки информации”.

Сведения касаются сервиса gazprombank.investments, предполагают исследователи в сфере кибербезопасности.

Всего слили более 200 тыс. файлов. Помимо исходного года, специалисты увидели текстовые выгрузки, содержащие персональные данные клиентов.

В самой крупной — почти 40 тыс. строк:

  • ФИО;
  • телефон (34 590 уникальных номеров);
  • адрес электронной почты (34 623 уникальных адреса);
  • пол;
  • дата рождения;
  • серия / номер паспорта, кем и когда выдан, код подразделения.

Выгрузка также содержит номера договоров и даты их заключения. Фигурируют документы с 12 мая 2020 по 17 мая 2021. Более того, указан признак квалифицированного инвестора.

Таковым признается физическое лицо с ценными бумагами или иными финансовыми инструментами общей стоимостью не менее 3 млн рублей.

В другой выгрузке — данные этих же клиентов, но уже с физическим адресом.

Добавим, вчера на этом же форуме выложили исходные коды “Яндекса”. ИТ-корпорация подтвердила факт утечки, заявив, что она не затронула персональные данные пользователей. Есть версия, что файлы “слил” один из сотрудников “Яндекса”.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

WireTap: атака на Intel SGX позволяет украсть ключ за 45 минут

Группа исследователей из Технологического института Джорджии и Университета Пердью продемонстрировала атаку под названием WireTap, которая позволяет обойти защиту Intel SGX (Software Guard Extensions).

Главная особенность вектора атаки (PDF) в том, что для неё достаточно физического доступа к серверу и простого оборудования стоимостью менее $1000 — его можно собрать из подержанных деталей.

Учёные создали пассивный DIMM-интерпозер, который подключается к шине памяти DDR4. С его помощью они смогли замедлить и анализировать трафик, затем очистили кэш и получили контроль над защищённым SGX-«анклавом». Дальше дело техники: всего за 45 минут они извлекли ключ аттестации машины.

С помощью украденного ключа можно:

  • подделывать аттестацию и ломать приватность сетей вроде Phala и Secret, где хранятся зашифрованные смарт-контракты;
  • взламывать систему Crust, имитируя доказательства хранения данных и подрывая доверие к узлам сети.

По сути, это позволяет нарушить и конфиденциальность, и целостность таких сервисов.

Intel признала существование атаки, но отметила, что она требует физического доступа и использования спецустройства. А это, по словам Intel, выходит за рамки их стандартной модели угроз.

Исследователи считают, что снизить риски можно с помощью более сложного шифрования памяти, увеличения энтропии, защиты подписи в аттестации и повышения скорости шины.

Напомним, несколькими днями ранее мы рассказывали про другой вектор атаки — Battering RAM. Он работает довольно изящно — через дешёвое «железо» стоимостью всего около $50.

AM LiveПодписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

RSS: Новости на портале Anti-Malware.ru