有黑客正拍卖一个包含9200万巴西公民详细信息的数据库
有黑客正在暗网中拍卖一个据称包含9200万巴西公民详细信息的数据库,卖家声称每一条数据都是真实而唯一的。
这位卖家还推出了一项针对巴西人的搜索服务,称他们可以从海量数据中挖掘特定个人的详细信息。
出价最高者得到数据
这场拍卖在多个有访问限制的暗网网站中进行,只有有人邀请或者付费,才能参加拍卖。
[92 Million unique] records of almost every [Brazilian] citizen on sale in Underground forums. The actor also offers service to find records about any indi vidual with small initial information living in Brazil.#intelhunt #brazil #threatdiscovery #breached — Breach Radar (@RadarBreach) September 27, 2019
根据BleepingComputer所寻找到的帖子信息,此次拍卖数据库的大小为16GB,起拍价为1.5万美元,每次竞价上涨1000美元。
而数据库卖方的匿称为X4Crow
,据他表示,这些敏感数据是按省来分类,包括个人的姓名、出生日期和纳税人ID。此外该数据库还有纳税人的法律实体信息(或是登记信息)。
BleepingComputer还收到了数据库样本,能够验证个人信息的准确性,其中还包括其母亲的姓名。我们使用了巴西联邦税收网站上的CPF(个人登记信息)查询服务进行验证,该服务会提供了死者的死亡年份。
尽管卖家没有透露数据的来源,但BleepingComputer被告知这来源于一个政府数据库。X4Crow表示,它包含了9200万条唯一的记录,几乎覆盖了所有的巴西公民。
这听起来似乎不太可能,因为巴西人口在2010年超过1.9亿,预计2019年将增加到2.1亿以上。不过,其中的纳税人ID表明这些数据属于正在工作的公民。
据多项数据估计,巴西约有9300万就业人口,这进一步印证了上述理论。
搜索服务
从目前的信息来看,卖方可能还没有收到一个投标。但是,他们还开展了另一项收费服务,类似于社工库,使用者只要提供一些细节,就可得到关于某个巴西公民的详细信息。
X4Crow声称只需输入全名或是纳税人ID或是电话号码,就可以检索某个公民的其他详细数据。
除此之外,卖方还声称可能找到电话号码(移动电话和固定电话)、旧地址、电子邮件地址、职业、教育程度、可能的亲戚、邻居、车牌等。
不能保证每次查询都能得到以上所有信息,但是每次查询平均能提供上述80%的数据。
在某个暗网网站中,X4Crow表示,他们还可以提供某个公司的详细数据,售价是150美元,偶尔会有50美元的折扣。
一位独立的安全顾问告诉BleepingComputer,这项搜索服务可能只是部分依赖于他们想要出售的数据库,他们很可能还有其他的数据源。
对网络犯罪并不陌生
从的活动来看,X4Crow拥有足够多的网络犯罪知识,可以帮助其他人解决“非法需求”。从X4Crow参与的讨论来看,他似乎还提出了一些涉及到内网渗透和网络钓鱼的建议。
而X4Crow的个人资料中还列出了能提供的所有服务,包括编程、渗透测试和与恶意软件相关的建议和支持服务。不过销售数据库显然不在他们的技能范围之内,这需要知道市场的实时需求,还拟定一个合适的价格,而不是进行拍卖。