Le informazioni personali di 100 milioni di clienti JustDial sono trapelate
Le informazioni sul account privato di 100 milioni di utenti del provider di ricerca locale basato su India, JustDial, sono trapelate online. Il database non protetto contiene informazioni di identificazione personale che vengono aggiornate in tempo reale in base al ricercatore indipendente Rajshekhar Rajaharia che per primo ha scoperto la violazione dei dati. Rajaharia ha tentato di contattare JustDial in merito al AP non protetta che consentiva accesso ai dati dei clienti, ma dopo aver atteso per 5 giorni e non aver ricevuto risposta, ha deciso di renderlo pubblico.
Apparentemente, tutti gli utenti di JustDial sono stati colpiti dalla perdita indipendentemente dal modo in cui hanno accesso al servizio, tramite app mobile, il sito Web o utilizzando il numero di telefono del assistenza clienti. Infatti, circa il 70% delle informazioni nel database è stato raccolto da persone che hanno chiamato il numero "8888 8888" di JustDial. La violazione è piuttosto grave a causa della mole di dettagli che potrebbero essere stati visualizzati da terze parti non autorizzate poiché contiene nomi, numeri di cellulare, email, indirizzi di casa, sesso, data di nascita, foto, occupazione e altro.
Il ricercatore indipendente ha scoperto il database con le informazioni attraverso una vecchia API che non è più utilizzata da JustDial ma che è stata lasciata sul server. API in questione sembra non essere stata aggiornata da metà 2015, quindi la violazione della sicurezza potrebbe essere stata attiva per quasi 4 anni. erano altre vecchie API non protette, una delle quali poteva essere utilizzata per attivare richieste di opt-out per tutti i numeri registrati che inviavano spam ai clienti interessati con e-mail e creavano più mal di testa per JustDial.
La società smentisce la violazione della sicurezza
JustDial ha rilasciato una dichiarazione che confutava la notizia che le informazioni dei propri clienti erano trapelate, affermando che tutte le informazioni finanziarie e le password degli account sono archiviate in un formato crittografato. Inoltre, la società ha chiarito che la vecchia scappatoia del API era stata riparata mentre le versioni più recenti della loro app non contenevano la vulnerabilità: "Anche questa vulnerabilità che esisteva sulle vecchie piattaforme delle app è stata riparata. Nuove (attuali) versioni di app dove la maggior parte gli utenti sono disponibili non hanno la vulnerabilità di cui sopra. " JustDial ha anche dichiarato che sarà condotto un audit tecnico indipendente per cercare eventuali vulnerabilità esistenti.