لو رفتن اطلاعات تپسی صحت دارد؟

پایگاه خبری فردا: از ساعاتی پیش اخباری منتشر شده است مبنی بر اینکه مشخصات و اطلاعات کاربران طبسی در فضای اینترنت لو رفته است یکی از کاربران خارجی با انتشار تصویری از بخشی از این اطلاعات را نیز منتشر کرد وزیر ارتباطات آذری جهرمی نیز با انتشار توئیتی تأیید کرد که اطلاعات یکی از شرکت‌های حمل و نقل لو رفته است. به نظر می رسد تپسی در این توییت به صورت تلویحی این مسأله تایید کرده است

تعداد رانندگان تپ‌سی امروز ۷۵۰ هزار نفر است و در مورد لو رفتن اطلاعات ۶.۵ میلیون راننده مطرح شده، در حال بررسی ارتباط ادله ذکر شده با تپ‌سی هستیم

نقض اطلاعات کاربری در یکی از شرکت‌های حمل و نقل شهری ایرانی

به نقل از سرتفا: حدود ۶.۷ میلیون سطر داده‌ مرتبط با کاربران ایرانی یک از شرکت‌های حمل و نقل شهری، دچار نقض اطلاعاتی شده است. نام و نام خانوادگی راننده، شماره تلفن و کد ملی به همراه سایر اطلاعات کاربری به واسطه این نقض اطلاعاتی در معرض خطر قرار گرفته است. آنچه که تا این لحظه مشخص است، این اطلاعات مربوط به صورتحساب‌های مالی رانندگان یکی از شرکت‌های حمل و نقل بوده که در صورت مشخص شدن دقیق نام مالک اطلاعات، به آن اشاره خواهد شد.

چند ساعت پیش، خبر کوتاهی درباره نقض اطلاعات کاربران یکی از شرکت‌های حمل و نقل شهری (تاکسی اینترنتی) منتشر شد که هنوز مشخص نیست که این نقض اطلاعاتی مربوط به کدام یک از شرکت‌های ایرانی است. اما برای اطلاع از جزئیات و روشن شدن ماجرا، در همین مورد، با باب دیاچنکو، محقق امنیتی آلمانی که برای اولین‌بار به این نقض اطلاعاتی اشاره کرده بود، گفت‌وگویی انجام دادیم که در ادامه آن را می‌خوانید.

اما پیش از خواندن این گزارش، لازم است اشاره کنیم که شرکت اسنپ در توییتی اعلام کرده است که این اطلاعات مربوط به شرکت آن‌ها نیست و ساختار داده شناسایی شده، با داده‌های آن‌ها متفاوت است. این اطلاعات را چطور بدست آوردی؟ حجم این اطلاعات دقیقا چقدر است و شامل چه مواردی می‌شود.

عموما برای پیدا کردن سرنخ‌های مرتبط با نقض اطلاعات در اینترنت از موتورهای جستجوی هوشمند نظیر شودان، باینری‌اج و... استفاده می‌کنم و زمانی‌که با پایگاه‌های داده حاوی اطلاعات حساس و در دسترس عموم برخورد می‌کنم، تلاش می‌کنم تا با صاحبان آن‌ها مکاتبه کنم تا دسترسی عمومی به اطلاعات حساس نشت داده شده محدود شود.

در این مورد، پایگاه داده‌‌ای از نوع مانگو دی‌بی (MongoDB) توسط موتورهای جستجو در تاریخ ۱۶ آوریل ۲۰۱۹ (۲۷ فرودین ۱۳۹۷) ثبت شده بود. این پایگاه داده با نام «doroshke-invoice-production» اطلاعات مختلفی را به‌صورت عمومی در دسترس همه قرار داده بود. اطلاعاتی که شامل نام و نام خانوادگی راننده، کد ملی، شماره تلفن و تاریخ فاکتورهای مرتبط با سال‌های ۹۵ و ۹۶ است.

براساس بررسی اولیه من، حدود ۶.۷۲۲.۲۶۹ رکورد حاوی اطلاعات یک شرکت حمل و نقل اینترنتی، در دسترس عموم قرار گرفته بود که ممکن است این تعداد نشان دهنده تعداد کل افرادی که اطلاعاتشان افشاد شده است نباشد. احتمال تکراری بودن اساسی وجود دارد، هرچند بررسی‌های اولیه نشان می‌دهد که با ۶.۷ میلیون رکورد یکتا مواجه هستیم که جزئیات بیشتر را به مرور در وبلاگ خودم به‌روزرسانی خواهم کرد.

در توییتر نوشته بودی که با مرکز ماهر ایران ارتباط برقرار کردی، واکنش آن‌ها چی بود؟ آیا پاسخی به شما دادند؟

من با مرکز ماهر ایران تماس گرفتم که به نظر می‌رسد آن‌ها دو دامنه دارند که به یکدیگر وصل نیستند! برای همین من به هر دو دامنه آن‌ها پیام فرستادم، اما هیچ پاسخی دریافت نکردم.

براساس پیگیری‌هایی که انجام دادی، مشخص نشد که چه کسی صاحب این اطلاعات است؟

از آنجا که دو شرکت فعال و بزرگ در ایران در زمینه حمل و نقل فعالیت دارند، احتمال می‌رفت که این داده‌ها متعلق به شرکت اسنپ یا شرکت تپسی باشد. من به هر دوی این شرکت‌ها برای محدود کردن دسترسی عمومی به این اطلاعات پیام فرستادم، اما مشخص نیست که این اطلاعات مربوط به کدام یک از آن‌ها بوده و چه کسی دسترسی عمومی به آن را محدود کرده است.

آیا در حال حاضر دسترسی به این اطلاعات قطع شده؟

پایگاه داده‌ها هم اکنون امن است اما اینکه چه کسی آن را پایین کشیده (دسترسی عمومی را محدود کرده) است مشخص نیست.

توضیحات تکمیلی و به‌روزرسانی:

- دیاچنکو در توییتی تایید کرد که اطلاعات تکراری در این پایگاه داده وجود دارد و ممکن است تعداد دقیق رکوردهای یکتای لو رفته به ۱ تا ۲ میلیون برسد.

- براساس اطلاعات موجود و با در نظر گفتن نام پایگاه داده لو رفته (درشکه - doroshke) و وجود شرکتی فعال در حوزه حمل و نقل اینترنتی با همین نام، احتمال این موضوع وجود دارد که این اطلاعات مربوط به شرکت‌هایی بجز اسنپ و تپسی باشد؛ هرچند این مساله در حال حاضر قابل اثبات نیست. از طرفی شرکت تپسی از همین نام در بخشی از سامانه داخلی سرویس خود استفاده می‌کند.