{"id":231202,"date":"2020-05-01T01:10:54","date_gmt":"2020-04-30T23:10:54","guid":{"rendered":"https:\/\/www.borncity.com\/blog\/?p=231202"},"modified":"2020-09-27T13:03:30","modified_gmt":"2020-09-27T11:03:30","slug":"fettes-datenleck-bei-franzsischer-zeitung-le-figaro","status":"publish","type":"post","link":"https:\/\/borncity.com\/blog\/2020\/05\/01\/fettes-datenleck-bei-franzsischer-zeitung-le-figaro\/","title":{"rendered":"Fettes Datenleck bei franz&ouml;sischer Zeitung Le Figaro"},"content":{"rendered":"<p><img loading=\"lazy\" decoding=\"async\" style=\"float: left; margin: 0px 10px 0px 0px; display: inline;\" src=\"https:\/\/borncity.com\/blog\/wp-content\/uploads\/2015\/01\/Schutz.jpg\" width=\"40\" height=\"47\" align=\"left\" \/>[<a href=\"https:\/\/borncity.com\/win\/2020\/05\/01\/huge-data-leak-at-french-newspaper-le-figaro\/\" target=\"_blank\" rel=\"noopener noreferrer\">English<\/a>]Bei der franz\u00f6sischen Zeitung Le Figaro hat es ein Datenleck gegeben, bei dem pers\u00f6nliche Daten von Abonnenten, teilweise sogar Kennw\u00f6rter im Klartext, offen gelegt wurden.<\/p>\n<p><!--more--><\/p>\n<p>Ich bin vor wenigen Stunden durch die Sicherheitsforscher des Safety Detective Research Teams auf <a href=\"https:\/\/www.safetydetectives.com\/blog\/lefigaro-leak-report\/\" target=\"_blank\" rel=\"noopener noreferrer\">den Sachverhalt<\/a> hingewiesen worden. Das Team ist unter\u00a0 Leitung von Anurag Sen auf das gravierende Datenleck bei der franz\u00f6sischen Tageszeitung Le Figaro gesto\u00dfen.<\/p>\n<blockquote><p>Le Figaro ist die \u00e4lteste Tageszeitung Frankreichs und wurde 1826 in Paris gegr\u00fcndet. Es d\u00fcrfte eine der popul\u00e4rsten Zeitungen des Landes mit der gr\u00f6\u00dften Tagesauflage in Frankreich zu sein. Die Online-Version von Le Figaro geh\u00f6rt zu den 50 meistbesuchten Websites in Frankreich.<\/p><\/blockquote>\n<h2>Ungesch\u00fctzte Elasticsearch-Datenbank<\/h2>\n<p>Bei der Suche im Internet nach offenen Datenbanken wurde man auf einem Elasticsearch-Server von Poney Telecom in Frankreich f\u00fcndig. Dort wurde eine Datenbank gehostet, die \u00fcber 8 TB an Daten, insgesamt etwa 7,4 Milliarden Datens\u00e4tze, enthielt. Der Server samt Datenbank war zum Zeitpunkt der Untersuchung in Betrieb und war ungesch\u00fctzt. Die Sicherheitsforscher erhielten so Zugriff auf personenbezogene Daten (PII), der franz\u00f6sischen Tageszeitung Le Figaro. Nach meiner Interpretation waren wohl Abonnenten der Tageszeitung dabei.<\/p>\n<h2>Welche Daten wurden geleakt<\/h2>\n<p>Die Datenbank von Le Figaro enthielt API-Protokolle der Desktop- und Mobil-Websites des Unternehmens aus den letzten drei Monaten. Als die Untersuchungen des Sicherheitsteams Ende April 2020 begannen, reichten die Aufzeichnungen beispielsweise bis in den Februar zur\u00fcck. Da die Datenbank wohl im M\u00e4rz 2019 aufgebaut wurde, ist es auch m\u00f6glich, dass Daten bereits viel fr\u00fcher \u00f6ffentlich abrufbar waren.<\/p>\n<p>Die Protokolleintr\u00e4ge in der Datenbank umfassten Aufzeichnungen von Personen, die von Februar bis April 2020 ein Abonnementkonto auf der Website von Le Figaro registriert hatten. Hinzu kamen Aufzeichnungen von bereits bestehenden Benutzern, die sich in ihre Konten einloggten. Bei neuen Benutzern wurden deren Anmeldedaten und weitere pers\u00f6nliche Daten gespeichert. Bei bereits bestehenden Benutzern blieben deren Anmeldedaten zwar verborgen, aber die pers\u00f6nlichen Daten wurden ebenfalls im Klartext in die Protokolle gespeichert und somit offengelegt.<\/p>\n<p>Zu den einsehbaren (unverschl\u00fcsselten) pers\u00f6nlichen (PII) Daten geh\u00f6rten auch die Anmeldedaten der jeweiligen Benutzer. Hier die gespeicherten Informationen:<\/p>\n<ul>\n<li>E-Mail-Adresse des Benutzers<\/li>\n<li>Vollst\u00e4ndiger Name des Abonnenten<\/li>\n<li>Privatadresse des Benutzers inklusiv Postleitzahl und Herkunftsland<\/li>\n<li>Passw\u00f6rter f\u00fcr neue Benutzer im Klartext und mit md5 gehashed<\/li>\n<li>IP-Adressen und interne Server-Zugriffstoken<\/li>\n<\/ul>\n<p>Die genaue Zahl der exponierten Personen ist aufgrund der Struktur der Daten in der verf\u00fcgbaren Zeit nicht ermittelbar. Eine detaillierte Dokumentation der Datenstrukturen findet sich <a href=\"https:\/\/www.safetydetectives.com\/blog\/lefigaro-leak-report\/\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a>.<\/p>\n<p><img decoding=\"async\" title=\"Le Figaro Datenbankstruktur\" src=\"https:\/\/i.imgur.com\/QNOiUnJ.jpg\" alt=\"Le Figaro Datenbankstruktur\" \/><br \/>\n(Le Figaro Datenbankstruktur, Quelle: safetydetectives.com)<\/p>\n<p>Die Sicherheitsforscher sch\u00e4tzen jedoch, dass sich zwischen Februar und April 2020 mindestens 42.000 neue Nutzer auf Le Figaro registriert haben. Alle diese Nutzer sind von diesem Datenleck betroffen. Wegen der Brisanz des Datenlecks haben die Sicherheitsforscher entschieden, Le Figaro nach Identifikation des Datenbankbesitzers schnell zu kontaktieren, statt mehr Zeit in die Untersuchung der Daten zu stecken.<\/p>\n<blockquote><p>Die kompromittierte Datenbank enthielt auch zahlreiche technische Protokolle, die Hinweise auf weitere Backend-Server von Le Figaro und m\u00f6glicherweise zus\u00e4tzliche, potenziell sensible Daten enthielten. Solche Informationen k\u00f6nnen sind f\u00fcr Angreifer wertvoll sein, die versuchen, die IT-Infrastruktur des Unternehmens zu kompromittieren.<\/p><\/blockquote>\n<p>Unter dem Strich war die gesamte Datenbank komplett ungesch\u00fctzt \u00fcber das Internet erreichbar.<\/p>\n<h2>Detektivarbeit beim Aufsp\u00fcren des Eigent\u00fcmers<\/h2>\n<p>Nachdem das Sicherheitsteam auf die ungesch\u00fctzte Datenbank gesto\u00dfen war, galt es den Eigent\u00fcmer zweifelsfrei zu ermitteln. Die Datens\u00e4tze enthielten zwar viele Verweise der Art <em>logstash-app-articles.lefigaro.fr <\/em>auf Backends des Le Figaro.<\/p>\n<p>Aber die ungesch\u00fctzte Datenbank wurde von einer Firma namens Dedibox (im Besitz einer gr\u00f6\u00dferen IT-Firma, Online SAS) gehostet. Diese benutze wiederum Server der Firma Poney Telecom, der unter der URL poneytelecom.eu erreichbar war. Und da fingen dann die Unsicherheiten an. Es gab einen weiteren exponierten Server aus demselben Elasticsearch-Cluster, der ebenfalls von derselben Firma gehostet wurde und einen \u00e4hnlichen Hostnamen hatte.<\/p>\n<p>Zudem steht Poney Telecom im Ruf, fragw\u00fcrdige, unethische Hosting-Praktiken zu dulden und Sicherheitsprobleme zu verursachen. Poney Telecom ist laut Aussagen der Sicherheitsforscher ber\u00fcchtigt f\u00fcr viele Online-Angriffe, die ihren Ursprung innerhalb des Poney Telcom Servernetzwerks zu haben scheinen.<\/p>\n<p>Zudem werden die meisten Online-Server von Le Figaro bei beliebteren (seri\u00f6seren) und wesentlich sicherheitsorientierteren Hosting-Diensten wie z.B. Akamai betrieben. Beim offenen Server handelte es sich aber um einen Backup-Cluster mit einem HTTPS-Zertifikat f\u00fcr die \"dev.lefigaro.fr\"-Subdomains. Das war ein starker Hinweis darauf, dass die Cluster-Besitzer zu Le Figaro geh\u00f6ren. Es dauerte trotzdem daher einige Tage, bis die Sicherheitsforscher Le Figaro zweifelsfrei als Eigent\u00fcmers der Datenbank identifiziert hatten und die Untersuchung der Daten fortgef\u00fchrt werden konnte. Als Fu\u00dfnote: Die Sicherheitsforscher legten ein Probekonto bei Le Figaro an und schauten nach, ob der eigene Datensatz in der Elasticsearch-Datenbank auftauchte (was dann zutraf).<\/p>\n<p>Inzwischen wurde Le Figaro kontaktiert und mit den Informationen \u00fcber das Datenleck konfrontiert. Der Artikel enth\u00e4lt aber keine Angaben, ob die Datenbank inzwischen aus dem Internet entfernt wurde (wovon ich ausgehe). Der Vorfall ist aber DSGVO-relevant, da pers\u00f6nliche Daten offen abrufbar waren. F\u00fcr Le Figaro ist das ein absoluter Daten-GAU, da nicht nur die eigene Infrastruktur \u00fcber die Protokolldateien potentiell aussp\u00e4hbar war. Die Benutzerdaten aus dem Datenleck sind nat\u00fcrlich f\u00fcr Cyber-Kriminelle viel wert, da sie f\u00fcr Phishing-Versuche, Identit\u00e4tsdiebstahl und andere Betr\u00fcgereien missbraucht werden k\u00f6nnen. Ob Dritte auf die Datenbank Zugriff hatten, ist aber unbekannt. Weitere Details lassen sich <a href=\"https:\/\/www.safetydetectives.com\/blog\/lefigaro-leak-report\/\" target=\"_blank\" rel=\"noopener noreferrer\">hier<\/a> nachlesen.<\/p>\n<p><strong>\u00c4hnliche Artikel<\/strong><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/04\/23\/sicherheitsinfos-datenlecks-malware-schwachstellen-22-4\/\">Sicherheitsinfos: Datenlecks, Malware, Schwachstellen (23.4.)<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/04\/27\/franzsische-kinomap-app-und-das-datenleck\/\">Franz\u00f6sische Kinomap-App und das Datenleck<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/04\/08\/datenleck-mit-95-millionen-e-mails-bei-maropost\/\">Datenleck mit 95 Millionen E-Mails bei Maropost<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/03\/14\/datenleck-bei-biometriefirma-antheus-tecnologia-mit-80-millionen-datenstzen\/\">Datenleck mit 80 Millionen Datens\u00e4tzen bei Biometriefirma<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/01\/22\/datenleck-beim-autovermieter-buchbinder\/\">Datenleck beim Autovermieter Buchbinder<\/a><br \/>\n<a href=\"https:\/\/borncity.com\/blog\/2020\/02\/14\/massives-datenleck-bei-franzsischer-firma-nextmotion-aktiv-im-bereich-schnheitschirurgie\/\">Massives Datenleck bei franz\u00f6sischer Firma NextMotion (Sch\u00f6nheitschirurgie<\/a>)<\/p>\n","protected":false},"excerpt":{"rendered":"<p>[English]Bei der franz\u00f6sischen Zeitung Le Figaro hat es ein Datenleck gegeben, bei dem pers\u00f6nliche Daten von Abonnenten, teilweise sogar Kennw\u00f6rter im Klartext, offen gelegt wurden.<\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[426],"tags":[5535,8032,8031,4328],"class_list":["post-231202","post","type-post","status-publish","format-standard","hentry","category-sicherheit","tag-datenleck","tag-frankreich","tag-le-figaro","tag-sicherheit"],"_links":{"self":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/231202","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/comments?post=231202"}],"version-history":[{"count":0,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/posts\/231202\/revisions"}],"wp:attachment":[{"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/media?parent=231202"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/categories?post=231202"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/borncity.com\/blog\/wp-json\/wp\/v2\/tags?post=231202"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}