Xakep #305. Многошаговые SQL-инъекции
Популярный сервис для отслеживания полетов FlightAware предупредил пользователей, что по неосторожности раскрывал их личные данные на протяжении трех лет.
Компания, базирующаяся в Хьюстоне, штат Техас, предоставляет данные о полетах в режиме реального времени, а также архивные сведения. FlightAware считается крупнейшей в мире платформой для отслеживания полетов с сетью из 32 000 наземных ADS-B станций (Automatic Dependent Surveillance-Broadcast) в 200 странах мира.
В заявлении, поданном на прошлой неделе в Генеральную прокуратуру Калифорнии, говорится, что случайная утечка данных началась еще 1 января 2021 года и была обнаружена только 25 июля текущего года. Сообщается, что причиной инцидента стала некая ошибка в конфигурации.
Из-за бага в открытом доступе оказались пароли и личные данные (в зависимости от того, какую информацию о себе пользователь указал в своем аккаунте). Полный список потенциально скомпрометированных данных выглядит следующим образом:
- ID пользователя;
- пароль;
- адрес электронной почты;
- полное имя;
- адрес для выставления счетов;
- адрес доставки;
- IP-адрес;
- аккаунты в социальных сетях;
- номера телефонов;
- год рождения;
- последние четыре цифры номера банковской карты;
- информация о принадлежащих пользователю воздушных судах;
- отрасль и должность;
- статус пилота (да/нет);
- активность аккаунта (например, просмотренные полеты и оставленные комментарии);
- номер социального страхования.
Пока неясно, сколько именно людей пострадали от этой утечки, но, согласно официальной статистике, FlightAware насчитывает более 12 млн зарегистрированных пользователей.
«FlightAware ценит вашу конфиденциальность и глубоко сожалеет о произошедшем, — говорится в письме, разосланном пользователям. — Как только мы обнаружили проблему, мы немедленно исправили ошибку в конфигурации. В качестве меры предосторожности мы просим всех потенциально пострадавших пользователей сбросить свои пароли. Вам будет предложено сделать это при следующем входе в FlightAware».
Также всем пользователям, получившим уведомление об инциденте, предлагается бесплатный 24-месячный пакет защиты от кражи личности от Equifax и рекомендуется сообщать о любой подозрительной активности в местные правоохранительные органы.
