Коды доступа к Facebook, Google и TikTok стали общедоступны из-за ошибки в базе данных

IT-компания YX International защитила уязвимую базу данных, в которой содержались одноразовые коды безопасности, предоставляющие пользователям доступ к аккаунтам Facebook*, Google, TikTok и других технологических компаний.

Азиатская IT-компания YX International производит оборудование для сотовой связи и предоставляет услуги маршрутизации текстовых сообщений. Маршрутизация SMS помогает доставлять срочные сообщения по назначению через различные региональные сети сотовой связи и провайдеров, например, пользователь получает код безопасности или ссылку для входа в онлайн-сервисы. YX International утверждает, что ежедневно отправляет 5 млн. текстовых SMS-сообщений.

Однако YX International оставила одну из своих внутренних баз данных открытой для доступа через Интернет без пароля, что позволило любому пользователю получить доступ к конфиденциальным данным, используя только веб-браузер, просто зная общедоступный IP-адрес базы данных.

Анураг Сен, исследователь в области безопасности и эксперт по обнаружению утечек, обнаружил открытую базу данных. Сен сказал, что неясно, кому принадлежит база и кому сообщать об утечке, поэтому Сен поделился деталями открытой базы данных с TechCrunch, чтобы помочь идентифицировать ее владельца и сообщить об ошибке в системе безопасности.

Сен сообщил TechCrunch, что открытая база данных включала содержимое текстовых сообщений, отправленных пользователям, включая одноразовые коды доступа и ссылки для сброса пароля для некоторых крупнейших мировых технологических компаний, включая Facebook*, WhatsApp, Google, TikTok и другие. В базе данных были ежемесячные журналы, датируемые июлем 2023 года, и ее размер увеличивался с каждой минутой.

В открытой базе были обнаружены наборы внутренних адресов электронной почты и соответствующие пароли, связанные с YX International. TechCrunch уже предупредил компанию об утечке базы данных. Вскоре база данных была отключена.

Анонимный представитель YX International сказал, что на сервере не хранятся журналы доступа, которые помогут определить, обнаружил ли кто-либо, кроме Сен, открытую базу данных и ее содержимое. Поэтому YX International не знает, как долго база данных была открыта. Представитель Meta* отказался от комментариев. Представители Google и TikTok не ответили на запросы о комментариях.

* Компания Meta и её продукты признаны экстремистскими, их деятельность запрещена на территории РФ.