از ساعاتی پیش اخباری منتشر شده است مبنی بر اینکه مشخصات و اطلاعات کاربران تپسی در فضای اینترنت لو رفته است یکی از کاربران خارجی با انتشار تصویری از بخشی از این اطلاعات را نیز منتشر کرد وزیر ارتباطات آذری جهرمی نیز با انتشار توئیتی تأیید کرد که اطلاعات یکی از شرکتهای حملونقل لو رفته است.
گسترش نیوز - از ساعاتی پیش اخباری منتشر شده است مبنی بر اینکه مشخصات و اطلاعات کاربران تپسی در فضای اینترنت لو رفته است یکی از کاربران خارجی با انتشار تصویری از بخشی از این اطلاعات را نیز منتشر کرد وزیر ارتباطات آذری جهرمی نیز با انتشار توئیتی تأیید کرد که اطلاعات یکی از شرکتهای حملونقل لو رفته است.
به نظر میرسد تپسی در این توییت به صورت تلویحی این مسئله تایید کرده است.
تعداد رانندگان تپسی امروز ۷۵۰ هزار نفر است و در مورد لو رفتن اطلاعات ۶.۵ میلیون راننده مطرح شده، در حال بررسی ارتباط ادله ذکر شده با تپسی هستیم.
حدود ۶.۷ میلیون سطر داده مرتبط با کاربران ایرانی یک از شرکتهای حملونقل شهری، دچار نقض اطلاعاتی شده است. نام و نام خانوادگی راننده، شماره تلفن و کد ملی به همراه سایر اطلاعات کاربری به واسطه این نقض اطلاعاتی در معرض خطر قرار گرفته است. آنچه که تا این لحظه مشخص است، این اطلاعات مربوط به صورتحسابهای مالی رانندگان یکی از شرکتهای حملونقل بوده که در صورت مشخص شدن دقیق نام مالک اطلاعات، به آن اشاره خواهد شد.
چند ساعت پیش، خبر کوتاهی درباره نقض اطلاعات کاربران یکی از شرکتهای حملونقل شهری (تاکسی اینترنتی) منتشر شد که هنوز مشخص نیست که این نقض اطلاعاتی مربوط به کدام یک از شرکتهای ایرانی است. اما برای اطلاع از جزییات و روشن شدن ماجرا، در همین مورد، با باب دیاچنکو، محقق امنیتی آلمانی که برای نخستینبار به این نقض اطلاعاتی اشاره کرده بود، گفتوگویی انجام دادیم که در ادامه آن را میخوانید.
اما پیش از خواندن این گزارش، لازم است اشاره کنیم که شرکت اسنپ در توییتی اعلام کرده است که این اطلاعات مربوط به شرکت آنها نیست و ساختار داده شناسایی شده، با دادههای آنها متفاوت است.
این اطلاعات را چطور بهدست آوردی؟ حجم این اطلاعات دقیقا چقدر است و شامل چه مواردی میشود.
عموما برای پیدا کردن سرنخهای مرتبط با نقض اطلاعات در اینترنت از موتورهای جستوجوی هوشمند نظیر شودان، باینریاج و... استفاده میکنم و زمانیکه با پایگاههای داده حاوی اطلاعات حساس و در دسترس عموم برخورد میکنم، تلاش میکنم تا با صاحبان آنها مکاتبه کنم تا دسترسی عمومی به اطلاعات حساس نشت داده شده محدود شود.
در این مورد، پایگاه دادهای از نوع مانگو دیبی (MongoDB) توسط موتورهای جستوجو در تاریخ ۱۶ آوریل ۲۰۱۹ (۲۷ فرودین ۱۳۹۷) ثبت شده بود. این پایگاه داده با نام «doroshke-invoice-production» اطلاعات مختلفی را بهصورت عمومی در دسترس همه قرار داده بود. اطلاعاتی که شامل نام و نام خانوادگی راننده، کد ملی، شماره تلفن و تاریخ فاکتورهای مرتبط با سالهای ۹۵ و ۹۶ است.
براساس بررسی اولیه من، حدود ۶.۷۲۲.۲۶۹ رکورد حاوی اطلاعات یک شرکت حملونقل اینترنتی، در دسترس عموم قرار گرفته بود که ممکن است این تعداد نشان دهنده تعداد کل افرادی که اطلاعاتشان افشاد شده است نباشد. احتمال تکراری بودن اساسی وجود دارد، هرچند بررسیهای اولیه نشان میدهد که با ۶.۷ میلیون رکورد یکتا مواجه هستیم که جزییات بیشتر را به مرور در وبلاگ خودم بهروزرسانی خواهم کرد.
در توییتر نوشته بودی که با مرکز ماهر ایران ارتباط برقرار کردی، واکنش آنها چی بود؟ آیا پاسخی به شما دادند؟
من با مرکز ماهر ایران تماس گرفتم که به نظر میرسد آنها دو دامنه دارند که به یکدیگر وصل نیستند! برای همین من به هر دو دامنه آنها پیام فرستادم، اما هیچ پاسخی دریافت نکردم.
براساس پیگیریهایی که انجام دادی، مشخص نشد که چه کسی صاحب این اطلاعات است؟
از آنجا که دو شرکت فعال و بزرگ در ایران در زمینه حملونقل فعالیت دارند، احتمال میرفت که این دادهها متعلق به شرکت اسنپ یا شرکت تپسی باشد. من به هر دوی این شرکتها برای محدود کردن دسترسی عمومی به این اطلاعات پیام فرستادم، اما مشخص نیست که این اطلاعات مربوط به کدام یک از آنها بوده و چه کسی دسترسی عمومی به آن را محدود کرده است.
آیا درحالحاضر دسترسی به این اطلاعات قطع شده؟
پایگاه دادهها هم اکنون امن است اما اینکه چه کسی آن را پایین کشیده (دسترسی عمومی را محدود کرده) است مشخص نیست.
توضیحات تکمیلی و بهروزرسانی:
- دیاچنکو در توییتی تایید کرد که اطلاعات تکراری در این پایگاه داده وجود دارد و ممکن است تعداد دقیق رکوردهای یکتای لو رفته به ۱ تا ۲ میلیون برسد.
- براساس اطلاعات موجود و با در نظر گفتن نام پایگاه داده لو رفته (درشکه - doroshke) و وجود شرکتی فعال در حوزه حملونقل اینترنتی با همین نام، احتمال این موضوع وجود دارد که این اطلاعات مربوط به شرکتهایی بجز اسنپ و تپسی باشد؛ هرچند این مسئله درحالحاضر قابل اثبات نیست. از طرفی شرکت تپسی از همین نام در بخشی از سامانه داخلی سرویس خود استفاده میکند.
منبع: فردانیوز
