Объяснение: как уязвимости в реестре bank.in RBI раскрывали конфиденциальные данные в течение 13 месяцев

Независимый исследователь Шрикант Л. обнаружил более 33 неаутентифицированных конечных точек на портале регистрации доменов '.bank.in' RBI, что привело к утечке конфиденциальных данных 5 576 сотрудников банков в течение как минимум 13 месяцев. Утечка включала хэши паролей, номера мобильных телефонов, электронные письма и отпечатки устройств. Также было найдено 1072 'осиротевших' учетных записей суперадминистратора, а частный поставщик имел глобальный доступ администратора. CERT-In устранил проблему за 17 дней. Портал был создан без публичного тендера и проверки безопасности.