Программист
0,0
рейтинг
27 ноября 2015 в 15:41

Разработка → Утечка 191 000 адресов электронной почты из резюме Авито из песочницы

Около недели назад я при гуглении неизвестного номера (из пропущенных звонков) внезапно наткнулся на него в выдаче в виде PDF файла с Авито, который выдавал ошибку при переходе по прямой ссылке, но попал в кэш. Выглядело это как то так:

Пример выдачи

Общий вид ссылки: «m.avito.ru/[адрес объявления]/export/pdf».

Всё можно найти по запросу: «site:avito.ru inurl:export/pdf» (Google, Яндекс).

Если Google обещает 191 000 результатов (реально выводит около 640, видимо срабатывает ограничение на выдачу), то в Яндексе всего 152 ответа и кэш недоступен в явном виде (но сами адреса легко вытянуть немного модифицированными запросами вроде «site:avito.ru inurl:export/pdf mail.ru»). Период сообщений где-то с августа по ноябрь этого года.

Официальный ответ компании:

Официальный ответ

Так что это наши с вами проблемы, что компания допустила утечку наших данных в публичную сеть, всё нормально.

Судя по тому, что в выдаче только резюме (и явно не все), могу предположить, что у Авито есть некий доступ для компаний и их рекрутёров к базе резюме с возможностью экспорта. Тем более, что в соглашении Авито оставило себе возможность передавать эти данные третьим лицам:

10.1. Авито вправе, а Пользователь настоящим дает свое согласие на это, передать свои права и/или обязанности по настоящему Пользовательскому соглашению, как в целом, так и в части, третьей стороне.
10.2. В случае передачи прав и/или обязанностей, как в целом, так и в части, по настоящему Пользовательскому соглашению третьей стороне, третья сторона имеет право предоставлять аналогичные или похожие услуги на другом сайте.

Но кроме этих пунктов есть и те, где Авито обязуется эту тайну хранить:

Авито принимает все необходимые меры для защиты персональных данных Пользователя от несанкционированного доступа третьих лиц.

23 ноября я отправил запрос в службу поддержки с описанием проблемы, мне ответили двумя стандартными отписками: «Благодарим за обращение в Службу поддержки Avito» и «По вашему обращению будет проведена проверка». Думаю, несколько дней вполне должно было хватить, чтобы поправить robots.txt и очистить выдачу? К сожалению, никаких контактов службы безопасности или администраторов найти не удалось. Тогда я связался уже с официальной группой ресурса ВКонтакте, продублировав проблему, ответ вы видите выше.

Надеюсь, компания всё же обратит внимание на проблему в ближайшее время.

UPD 28.11: Авито пока никак не реагирует, чищу понемногу кэш самостоятельно.
UPD 30.11: Почти очистилась выдача Яндекса, всего 3 результата (опять вернулись все 152 результата, видимо временные неполадки в выдаче были), а у Google теперь ищется «всего» 185 000 результатов.
UPD 01.12: Еще раз ответили Вконтакте, ждём результатов:

UPD 08.12: Всё чисто, и в Google и в Яндексе. Выдаёт 1-3 результата, но без копии в кэше.
UPD 14.12: В Google 137 000 результатов с кэшем, Яндекс пустой.
@Gorily
карма
9,0
рейтинг 0,0
Программист
Реклама помогает поддерживать и развивать наши сервисы

Подробнее
Спецпроект

Самое читаемое Разработка

Комментарии (30)

  • +6
    Меня, возможно, поймут неправильно, но…

    Человек оставил свое рабочее резюме на бирже труда. Туда он вписал профессию, личные данные, номер телефона, адрес е-почты. Человек, как мне кажется, был вполне готов к публикации этих данных, разве не так?

    Ну то есть я пытаюсь представить себе как кто-то прочитал мое резюме не на самом Авито, а на другом сайте. И не вижу в этом большой беды. Я не прав?
    • +4
      В утекшей информации в поисковики не только е-майл и сотовый. Город, образование, места учебы, возраст, пол и т.д.
    • +21
      На Авито почта обязательно указывается при регистрации и никогда не публикуется (о чём сайт сразу сообщает). А тут публикуется, при этом пользователь сам свой адрес не отдаёт.
      Вы регистрируетесь на Авито продать диван с помойного ящика vasya.ganjubasya@bk.ru и не основным номером телефона, затем через некоторое время публикуете с того же аккаунта резюме, указав свой нормальный номер телефона. Теперь вы доступны в поиске по помойному адресу, ваш нормальным номер тоже ищется и всё это сопоставлено с вашими реальными данными (имя, город, род деятельности, прошлые компании). Без вашего ведома.
      • +2
        Т.е. возможно что часть личностей, которые там продавали всякое полуработающее гавно на левые симки, внезапно для самих себя теперь найдутся? Ну а что, даже позитивненько :)
      • +3
        Нужно катать телегу в роспотребнадзор — сделали орган, придумали законы — пущай работают :)
  • –54
    как не обсурдно это звучит, но в сетуации с гуглом, это хранение личных данных на зарубежном сервере )
    • +10
      Я полагаю, что кэши гугла для рунета расположены в России. Это было бы логично.

      Но интересно другое. С какой целью вы это здесь написали?
      • +6
        … напесали

        Извините, не удержался :-)
  • +6
    В моем случае служба поддержки тоже не ответила (только то, что репорт приняли). А спустя примерно месяц обнаружил вот такую картину


    И исправленную уязвимость. Значит, что они действительно смотрят репорты и исправляют, по мере возможности.
    Может, стоило дождаться?
    • +4
      Мне техподдержка ответила. Диалог Вконтакте состоял из нескольких этапов:
      1. Я написал номер репорта и попросил передать его разработчикам или СБ напрямую, чтобы скорее приняли меры.
      2. Меня попросили повторить текст запроса и заверили, что передадут его напрямую нужным людям.
      3. Я повторил запрос, со скриншотами и пояснениями.
      4. Через некоторое время мне ответили (скриншот в посте).
      Считаю, что это окончательный ответ.
      К тому же мне пришло не только сообщение о принятии репорта, но и «результат» (вторым сообщением, через некоторое время): «По вашему обращению будет проведена проверка».
      Поверьте, я действительно постарался донести до компании суть проблемы и ждал решения, иначе пост был бы написан неделю назад.
      Более того, черновик поста был сделан заранее и я до конца надеялся, что напишу об этом инциденте уже в прошедшем времени.
      • +5
        Имел много лет назад непосредственное отношение к компании, сообщил топ-менеджменту о вашей заявке и статье.
        • +3
          Благодарю, это очень кстати.
          Я пока сам потихоньку чищу кэш. Если что, вы поясните их техническим специалистам как это делается, не сложно:
          1. Открываем выдачу в гугле.
          2. Открываем страницу www.google.com/webmasters/tools/removals?pli=1 (удаление устаревшего контента).
          3. Вносим ссылки.
          4. Менее чем через 12 часов ссылок нет, вот часть моих заявок:
  • 0
    Официальный ответ компании:
    [картинка]
    Так что это наши с вами проблемы, что компания допустила утечку наших данных в публичную сеть, всё нормально.

    Я этот ответ понимаю так: «Мы уже пофиксили, но признавать не хотим».
  • 0
    Как насчёт подать на них в суд?
  • +2
    Не новость. В объявлении использовал номер, которым никогда не пользовался. И что же?
    Через некоторое время на него стали приходить звонки и реклама в СМС.
    Уязвимость у подобных сервисов мне видится одна и она заключена в предложениях крупных сумм за базы данных…
    • +1
      Да, номера у них улетают со скоростью звука. Недавно дядя звонил с проблемой, пытались деньги увести со Сбера. Оказалось, что перед этим разместил объявление на Авито, через пять минут пришло примерно такое сообщение: «Василий, мы заинтересованы купить велотренажер, давайте спишемся тут: [ссылка на apk]». Он человек неопытный, повёлся.
      Именно поэтому я не акцентирую внимание на то, что в резюме и номер утекает.
      Но попробуйте из любого опубликованного резюме или объявления вытащить электронный адрес, если он не указан явно самим пользователем в тексте — нет такой возможности.
    • +2
      По этой причине и не размещаю никакие объявления на Avito впринципе, а без указания номера телефона там ничего сделать уже невозможно, насколько мне известно. «Левый» номер можно, конечно, сделать, но ради этого по сути монополиста с местами странной модерацией и одновременно пофигизмом к пользовательским данным (что, так трудно хотя бы поставить капчу на просмотр номера телефона? между тем все криминальные форумы пестрят предложениями купить «базы Avito») заморачиваться как-то неохота.
  • 0
    >>обещает 191 000 результатов (реально выводит около 640, видимо срабатывает ограничение на выдачу),

    Сталкивался с подобным, пришел к выводу что гугль просто врет.
    «Все крупные состояния сделаны исключительно бесчестым путем» Остап Бендер
    • 0
      Думаю, всё же не врёт, а ограничивает выдачу.
      Если ввести в поиск «dog», то гугл обещает 1 230 000 000 результатов, что логично. А в выдаче 41 лист * 10 = 410 результатов. Вы же не думаете, что в интернете всего 410 упоминаний этого слова? Скорее всего остальные результаты можно получить уточнив запрос.
      • 0
        Извините, но Google не выдает более 1000 результатов, а вы запросили результаты с номера 2410.
        Зы, для youtube то же ограничение в 1000, как и для остальных сервисов Google.
        Яндекс ограничился 100 страниц выдачи.
        Bing — 75.
      • 0
        Ага ага. Вот только почему-то проверить цифру 1 230 000 000 не получается ;0))
        А какая мне разница? Заявляет одно, а позволяет другое- это и есть вранье. А уж почему он там врет мне не важно.

        • 0
          Вам это число общее сообщили просто так, для сведения. Могли не сообщать. Но тогда у вас бы могло сложиться ложное впечатление, что выдача вся и действительно есть только 41 страница.

          Так что всё наоборот. Вам число показали, чтобы не лгать (то есть не вводить вас в заблуждение).
          • +1
            Вот смотрю результат поиска по какой-то случайной фразе в гугле и вижу такую строку:
            Результатов: примерно 338 000 (0,39 сек.)
            Вас не смущает слово примерно? ;0))
            Что мы имеем в итоге? Нам сообщили какую-то странную цифру, а показывают совсем другое количество.
            Нет, я бы понял если бы они спрогнозировали миллион и ошиблись процентов на тридцать. Я понимаю что пока идет запрос боты что-то добавляют и совсем уж точно сказать нельзя.
            Но показать всего сколько-то там страничек (100?)… Как проверить? Ведь многие сравнивают поисковики по количеству проиндексированных документов и размеру выдачи.
            Мои боты негодуют!
            • 0
              Вас не смущает слово примерно?

              Нет, не смущает. Меня бы куда больше смутило, если бы они мне написали «338 237». Потому что, как я уже сказал выше, рассчитывалось это на оценочное суждение. То есть, еще раз, Гугл здесь не ставит себе цель показать ни точное количество найденных записей (которое ни одному нормальному человеку в жизни не пригодится уже хотя бы потому, что меняется раз в час), ни количество выданных вам результатов (которые, между прочим, надо кешировать для каждого юзера отдельно).

              Как проверить?

              Никак. Считайте, что этого числа вообще нет если оно вам не помогает. Я бы задал вопрос более актуальный: зачем необходимо это проверять? А еще спросил бы, с какой стати поисковику вас обманывать на счет количества найденных им упоминаний?

              Как, по-моему, можно пользоваться этим числом:
              Лично я пользуюсь так. Допустим, есть какая-то общеупотребимая фраза на английском. И я хочу убедиться в том, что я ее пишу правильно (бывают разночтения). И тогда я ввожу в поисковик оба варианта. И получается:

              «that's me»: About 335,000,000 results (0.44 seconds)

              «that's i»: About 1,620,000,000 results (0.34 seconds)

              Сразу понятно, какой вариант более общеупотребим в письменной литературе, а значит — более грамотен.

              На русском тоже можно, хотя работает немного хуже. Например, просторечное «представляет из себя» — 26 миллионов, а литературное «представляет собой» — 28 (всего на 10% больше).
      • +1
        Либо сделать выборку по дате. В гугл они попали в разный период времени, таким образом, перебирая даты — получаем всю выборку резюме Тыц
  • –3
    А никто не спарсил ещё выдачу? Базой с данными Имя\Почта\Телефон поделитесь?
  • 0
    Похоже имеет место продолжение данной истории.
    Пришло мне 30 минут назад уведомление от Авито, что моё объявление рассматривается модераторами (некто создал объявление и добавили новый номер для связи). Сразу понял, что мой аккаунт ломанули. Так как у меня пароль устойчив к подбору, то наверняка слита БД учеток.
    Написал им в СБ, может отреагируют.
    • 0
      Два дня назад пришло уведомление что мой ящик сменен на другой. При этом если это делал не я, предложили перейти по ссылке и восстановить прежний ящик. Фишинг — подумал я, а нет. Но ссылка странным образом выдавала ошибку.
      Если адрес электронной почты tanushkashere***@mail.ru принадлежит не вам, воспользуйтесь восстановлением доступа, перейдя по ссылке до 24.01.2016 г.: www.avito.ru/restore/confirm/1e9021c69d2289810c3154bb53e7f09f

      Через полтора дня мне ответила служба поддержки вот так:
      бла бла бла пароль вероятно украли, был легко для подбора… лалала.
      Ну окей, даже если был 11111, не важно но как это вот:
      К сожалению, восстановление вашего аккаунта невозможно, так как вы зарегистрировали новую учетную запись с адресом .

      Что??)) Кого я регистрировал? Какой адрес? Я просто увидел что мне поменяли ящик и пароль, все. Больше ничего. Как это могло убить мою учетку? Какая-то темная история.

Только зарегистрированные пользователи могут оставлять комментарии. Войдите, пожалуйста.