База даних з мільйонами кодів двофакторної аутентифікації потрапила у відкритий доступ

Вона оновлювалася в режимі реального часу.

База даних американської телекомунікаційної компанії Voxox з 26 мільйонами текстових повідомлень, що містять посилання для скидання паролів і кодів двофакторної аутентифікації, виявилася у відкритому доступі.

База була виявлена фахівцем з безпеки з Берліна Себастьяном Каулом – він випадково знайшов її за допомогою пошукової системи Shodan, яка індексує загальнодоступні бази даних. Як виявилося, сервер, на якому знаходилася база, що не був захищений паролем.

Було проаналізовано повідомлення, які містилися в базі. Серед них, наприклад, коди двофакторної аутентифікації для облікових записів Google, коди для трекінгу відправлень Amazon, тимчасові паролі для інтернет-банкінгу, коди для скидання облікового запису Microsoft і інша аналогічна інформація.

Дані оновлювалися практично в реальному часі, з затримкою лише в кілька хвилин. Таким чином, коди в базі були актуальні на момент появи, і їх перебування у відкритому доступі створювало реальну загрозу безпеці.

Приклад повідомлення, що знаходився у вільному доступі. Воно містить, зокрема, номер телефону користувача і код для скидання аккаунта Microsoft.

Voxox після повідомлення від журналістів усунула помилку і закрила доступ до бази. У компанії заявили, що проводять внутрішнє розслідування інциденту.