PII ve kısmi finansal detaylar da dahil olmak üzere 520.000 müşteriden Tickettocash’a ait yanlış yapılandırılmış, password korumalı olmayan bir veritabanı.
Siber güvenlik araştırmacısı Jeremiah Fowler kısa süre önce 520.000’den fazla kayıt içeren 200GB açıkça erişilebilir yanlış yapılandırılmış bir veritabanı keşfetti. Bu maruz kalan veritabanı, etkinlik biletlerini yeniden satmak için bir platform olan Tickettocash müşterilerine aitti.
Hackread.com ile paylaşılan Fowler’ın raporuna göre, bu sadece isimler ve e -posta adresleriyle ilgili değil; Veri maruziyeti kısmi kredi kartı numaralarını ve konser ve etkinlik biletlerine bağlı fiziksel adresleri içerir.
Ayrıca, maruz kalan veriler, adlar, e -posta adresleri, ev adresleri ve kredi kartı numaraları gibi kişisel olarak tanımlanabilir bilgileri (PII) içeren bilet ve belgelerin kopyalarını içermektedir.
Veritabanının adı, müşteri dosyalarını çeşitli dijital formatlarda tutmasını önerdi. PDF, JPG, PNG, Ve JSON. Fowler bu dosyaların bazılarına baktığında, konserler ve diğer canlı etkinlikler için birçok bilet, insanlar arasındaki bilet transferlerinin kanıtı ve kullanıcıların gönderdiği ödeme makbuzlarının ekran görüntüleri gördü. Bu belgelerin bazıları kısmi kredi kartı numaraları, tam adlar, e -posta adresleri ve ev adresleri gösterildi.
Dosyalar ve klasörler içindeki dahili ipuçları, verilerin insanların etkinlik biletlerini konserler, spor oyunları ve tiyatro şovları için satabilecekleri çevrimiçi bir platform olan Tickettocash’a ait olduğunu gösterdi. Şirket, biletleri 1000’den fazla web sitesinden oluşan bir ağda listelediğini belirtiyor.
Tickettocash cevap vermedi; Veritabanı ikinci uyarıya kadar maruz kaldı
Özellikle rahatsız edici olan şey, bilgilendirildikten sonra Tickettocash’ın ilk yanıtının görünmez olmamasıdır. Fowler’ın soruşturmasına göre, “Hemen sorumlu bir açıklama bildirimi gönderdim TicketToCash.comama cevap almadım ve veritabanı açık kaldı. ”
Veritabanı, şirketin güvence altına alındığı için ikinci bir bildirim gönderilinceye kadar kamuya açık olarak erişilebilir kaldı, ancak dosyalar Fowler’ın birinci ve ikinci denemeleri arasında dört gün içinde maruz kaldı.
Fowler, bu bilgi bir şekilde yanlış ellere girerse, kimlik avı, kimlik hırsızlığı veya sahte biletlerin yaratılması ve yeniden satış gibi hileli amaçlar için kullanılabileceği konusunda uyarır. Fowler, “PII ve finansal detayların yıllarca geçerli olabileceğini” vurguladı, yani bu sızıntının sonuçları uzun ömürlü olabilir. Bu yüzden Ticketmaster veri ihlali yaygın medya kapsamı aldı.
Ayrıca, ikincil pazarlardan bilet satın alan insanların (% 11) önemli bir yüzdesinin dolandırıldığını gösteren 2023 raporuna atıfta bulundu ve İngiltere’de bilet dolandırıcılarında% 529 dramatik bir artış kaydetti “kurbanlara ortalama 110 £ (145 $) maliyeti.”
Tickettocash’ın bu veritabanına doğrudan sahip olup olmadığı ve yönetip yönetmediği veya üçüncü taraf bir yüklenici tarafından ele alınması, Fowler’ın bulması ne kadar süre maruz kaldığı ve bu süre zarfında bilgiye erişebileceği belirsizdir.
Bununla birlikte, Fowler’ın bulguları, özellikle etkinlik biletleri gibi yüksek değerli pazarlarda hassas kullanıcı verilerini işleyen platformlar için kritik bir sorumluluğu vurgulamaktadır. Tickettocash kullanıcıları kimlik avı girişimleri konusunda dikkatli kalmalı, finansal hesapları izlemeli, şifreleri güncellemeli ve çok faktörlü kimlik doğrulamasına geçmelidir.