Bancos de dados Juspay contendo 10 milhões de dados de usuários à venda na plataforma de compartilhamento de dados

Categoria

Ativos impactados

Verificado pelo CloudSEK

Dados vazados

A ameaça

Inc42 publicou um relatório sobre Juspay dados vazando na dark web. O relatório afirma que o despejo de dados contém PII (informações de identificação pessoal) e dados de cartões de 10 milhões de usuários. CloudSEK fez uma análise detalhada desse incidente e as principais descobertas estão resumidas abaixo.

Visão geral

• A Juspay sofreu uma violação de segurança em agosto de 2020, quando um grupo de hackers invadiu seus servidores de metadados de pagamento e baixou alguns bancos de dados.
• A Juspay não divulgou esse incidente às autoridades — em vez disso, ocultou a violação.
• Em janeiro de 2021, a Inc42 informou que a Juspay foi encalhada e as informações de PII de seus clientes vazaram na dark web.
• Os bancos de dados contêm 16 campos, incluindo dados de cartões mascarados e PII (endereço de e-mail, nome e sobrenome, números de celular), entre outras informações confidenciais.

Impacto

• Os dados vazados não contêm dados completos do cartão — eles expõem principalmente as PII dos usuários junto com os dados do cartão mascarado.
• Não há impacto direto em outros bancos, pois os números dos cartões são mascarados, ou seja, somente os primeiros 4 e os últimos 4 números são visíveis.
• É impossível fazer engenharia reversa ou usar números de cartão de força bruta porque os emissores de cartões (Visa, MasterCard, Rupay) bloqueiam um cartão inválido após 100 tentativas fracassadas.
• A PII pode ser usada para realizar ataques de engenharia social contra os usuários afetados.
• O impacto direto desse vazamento é insignificante para bancos e outras organizações, pois os dados completos do cartão não foram comprometidos e as chances de recuperar dados completos de dados parciais são impossíveis.

Conselhos para equipes de segurança

• Veremos um aumento nos ataques de phishing direcionados aos usuários de cartões nos próximos meses.
• No caso de um ataque de phishing bem-sucedido, os bancos são aconselhados a vigiar de perto os cartões de crédito que passaram pelo gateway JusPay usando tecnologias internas de monitoramento de fraudes.

Análise técnica detalhada

CloudSEKa principal plataforma digital de monitoramento de risco da XV Vigília descobriu um post em uma plataforma de compartilhamento de dados, vendendo bancos de dados de usuários de várias empresas. Nossos pesquisadores da Threat Intelligence fizeram uma análise detalhada sobre o mesmo. As empresas afetadas são:

Ativos impactados

A postagem mais recente contém uma amostra do banco de dados Juspay, embora os dados não tenham sido validados. Aqui estão alguns exemplos de capturas de tela do vazamento:

Esquema 1

O banco de dados “stored_card” contém os seguintes campos:

• id varchar
• versão bigint
• marca_cartão
• cartão_exp_month
• card_exp_year
• cartão_impressão digital
• card_está em
• emissor do cartão
• cart_last_four dígitos
• referência_cartão
• cartão_token
• cartão_token_do_vault_provider
• tipo_cartão
• ID do cliente
• data_criada
• última atualização
• número_do_cartão_mascarado
• ID da conta do comerciante
• nome_no_cartão
• apelido
• provedor_do_cofre
• cartão_global_impressão digital

Esquema 2

O banco de dados do “cliente” contém os seguintes campos:

• id
• versão
• data_criada
• endereço_e-mail
• primeiro_nome
• sobrenome_do_nome
• última atualização
• ID da conta do comerciante
• código_do_país móvel
• número_de_celular
• id_de_referência do objeto

Ator de ameaça

O ator da ameaça entrou no fórum em dezembro de 2020. E desde então, o agente da ameaça compartilhou duas postagens, tentando vender bancos de dados de sua coleção particular.

Uma das postagens anuncia vários bancos de dados, enquanto a outra está vendendo o banco de dados Gympass.