Генератор QR-кодов сливает учетки и ПДн десятков тысяч пользователей

Генератор QR-кодов сливает учетки и ПДн десятков тысяч пользователей

Генератор QR-кодов сливает учетки и ПДн десятков тысяч пользователей

Из-за ошибки в конфигурации сервера данные клиентов болгарского сервиса My QR Code оказались в открытом доступе. Записи в базе ежедневно обновляются, общий объем уже превысил 128 Гбайт, но владелец пока игнорирует уведомления и не торопится принимать меры защиты.

Сервер, доступ к которому не требует ни пароля, ни аутентификации, был обнаружен в ходе поиска неправильно настроенных баз данных с использованием Shodan. На момент написания алерта Hackread число затронутых пользователей составляло 65 тыс., на время публикации (19 февраля) — уже 67 тысяч.

 

База, попавшая в паблик 4 февраля, содержит следующую информацию о клиентах:

  • полное имя;
  • занимаемая должность;
  • адрес места жительства;
  • страна, штат, почтовый индекс;
  • адрес имейл;
  • номера телефонов;
  • хеш пароля;
  • URL QR-кодов;
  • ссылки на профили в соцсетях;
  • ссылки на персональные и корпоративные сайты.

Подобные утечки могут иметь серьезные последствия для затронутых пользователей. Если данные скопируют злоумышленники, они смогут массово рассылать спам, проводить фишинговые атаки, совершать мошеннические действия от имени пострадавших, проникать в их дома.

Пользователям генератора QR-кодов рекомендуется помониторить аккаунты на предмет подозрительной активности, а также сменить пароль и включить двухфакторную аутентификацию, если эта опция доступна.

Подпишитесь на новости

Google автоматически связывает профили на Android номером телефона

Завели отдельный Google-аккаунт, чтобы не связывать его с основным номером? Android может проявить инициативу за вас. Включённая по умолчанию функция автоматически подтверждает номера телефона и добавляет их ко всем аккаунтам Google, в которые выполнен вход на устройстве.

На такое поведение обратили внимание в Android Authority. Некоторые пользователи узнали о привязке из неожиданных писем о подтверждении номера. Сотрудники издания проверили свои смартфоны и тоже обнаружили включённую настройку.

Механизм описан и в справке Google: он распространяется на существующие и будущие аккаунты и номера. Добавили новый профиль — он связывается с номерами на устройстве. Добавили номер — он попадает в аккаунты.

Google объясняет проверку работой функций входа, восстановления доступа и связи. Но пользователям, которые намеренно разделяют учётные записи, такая забота способна испортить всю организацию цифровой жизни.

Отключить автоматическое подтверждение можно в настройках Android: Google → «Все сервисы» → «Конфиденциальность и безопасность» → «Подтверждение номера телефона».


При этом выключатель не удаляет уже добавленные номера. По инструкции Android Authority, их нужно отдельно убрать из ненужных профилей: настройки аккаунта Google → «Личная информация» → «Контактная информация» → «Телефон».

Некоторые пользователи жалуются, что настройка включается повторно, однако редакция издания воспроизвести это не смогла.

RSS: Новости на портале Anti-Malware.ru