Servidor VOIP no protegido expuso millones de mensajes SMS y Logs

Iniciado por AXCESS, Enero 17, 2019, 09:41:29 PM

Tema anterior - Siguiente tema

0 Miembros y 1 Visitante están viendo este tema.

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

Un proveedor de servicios de voz sobre IP (VoIP) con sede en California, VOIPO, dejó accidentalmente decenas de gigabytes de datos de sus clientes, que contienen millones de registros de llamadas, mensajes SMS / MMS y credenciales de sistema interno, accesibles públicamente para cualquier persona sin autenticación.

VOIPo es uno de los principales proveedores de servicios de voz sobre IP (VoIP) en los Estados Unidos que ofrece servicios de reventa VoIP, Cloud VoIP y VoIP a empresas residenciales y pequeñas empresas.

Justin Paine, el jefe de Confianza y Seguridad en CloudFlare, descubrió una base de datos abierta de ElasticSearch la semana pasada utilizando el motor de búsqueda Shodan y notificó al CTO de VOIPO, quien luego aseguró la base de datos que contiene al menos 4 años de datos de sus clientes.

Según Paine, la base de datos contenía 6,7 millones de registros de llamadas que se remontan a julio de 2017, 6 millones de registros de SMS / MMS que se remontan a diciembre de 2015 y 1 millón de registros que contienen la clave API para los sistemas internos.

Si bien los registros de llamadas incluían la marca de tiempo y la duración de las llamadas de VOIP de los clientes de VOIPO y los números de teléfono de origen y destino parciales de esas llamadas, los registros de SMS y MMS incluso incluían el contenido completo de los mensajes.

Además de esto, la base de datos no protegida también almacenó 1 millón de registros que contenían referencias a nombres de host internos, algunos de los cuales también incluían nombres de usuario y contraseñas de texto simple para esos sistemas. Estos valores sensibles fueron expuestos desde el 3 de junio de 2018.

Cuando Paine se acercó a VOIPO, la compañía dijo que este era "un servidor de desarrollo que accidentalmente se había dejado públicamente accesible".

Sin embargo, confirmaron que la base de datos también contenía "datos válidos", lo que significa datos de producción reales, sin especificar qué datos supuestamente eran datos de desarrollo y cuáles datos de producción.
Paine especuló que las credenciales de texto simple filtradas eran probablemente credenciales de producción y que los registros de llamadas de SMS / MMS y VOIP parecían ser datos de producción.

El investigador notificó a VOIPO sobre la insegura base de datos ElasticSearch el 8 de enero de 2019, y la compañía confirmó el mismo día que eliminó la base de datos fuera de línea.

Esta es la segunda vez en este mes cuando se encuentra una gran base de datos que contiene millones de registros de usuarios abiertos al mundo.

La semana pasada, salió a luz una base de datos masiva de MongoDB de 854.8 gigabytes de datos que contienen registros de más de 202 millones de solicitantes de empleo chinos que se encuentran accesibles a cualquier persona en Internet sin autenticación.

Fuente:
The Hacker News
No tienes permitido ver los links. Registrarse o Entrar a mi cuenta

No tienes permitido ver los links. Registrarse o Entrar a mi cuenta