Entre los datos filtrados hay información relacionada con agentes del MI6, miembros de la familia real qatarí y del gabinete del gobierno. La brecha de seguridad afecta a más de 100.000 cuentas bancarias que contienen cerca de 15.000 documentos, con números de tarjeta de créditos, PIN e información personal


Cryptome informa que la filtración incluye 15.460 archivos, que contienen detalles, incluyendo contraseñas, números PIN y los datos de tarjetas de pago, para cientos de miles de cuentas de los clientes del banco.

2/2 QNB hack: 15.4K docs, 1.4GB, most tiny, dozens big. Zip (431MB): https://t.co/R4jiU8iXEy (RU?) /@aljazeera______ pic.twitter.com/KXjI2ELvzi

— Cryptome (@Cryptomeorg) April 25, 2016

La base de datos del Banco Nacional de Qatar ha sido hackeada y con ella, 1,40 GB de información perteneciente a sus clientes y datos personales. Más de 15.000 documentos relacionando a más de 100.000 cuentas bancarias, según el IBtimes, que asegura haber contactado con varias fuentes y que los datos son legítimos.

El experto en seguridad de Omar Benbouazza, uno de los organizadores de la conferencia RootedCON, también considera que una información filtrada es legítima. Ha analizado los documentos filtrados y se encontró que las direcciones IP enumeradas, así como información relativa a estas direcciones IP, además de información de administrador, parecían pertenecer a QNB y se relacionan con el servicio de banca móvil de QNB, alojado en apps.qnb.com y aplicaciones. qnb.com.qa.

De acuerdo a la información publicada, parece que el objetivo principal era la dirección IP 213.130.121.229, de la que se supone que era el servidor que conectaba a las aplicaciones móviles. De hecho, esa dirección IP albergaba los dominios apps.qnb.com y apps.qnb.com.qa según el registro de VirusTotal.

El banco estaba comiendo un gran error, el software que empleaba en el mencionado servidor tenía vulnerabilidades conocidas: Servlet 2.4, JSP and Tomcat 4.2.3.

Según los logs compartirdos por el atacante, el “hack” que se empleó es uno de los más comunes, una inyección de SQL al servidor ORACLE del backend, empleando la herramienta sqlmap

El servidor además, tenía 11 bases de datos almacenadas, pero no todas ellas han sido publicadas en el “leak”:

[*] COMMON – Publicada
[*] EBPB – Publicada
[*] EXFSYS – No Publicada
[*] IVR – Publicada
[*] IVRDR – Publicada
[*] IVRTMP – No Publicada
[*] MWS – Publicada
[*] RETAIL – Publicada
[*] SYS – No Publicada
[*] SYSTEM – No Publicada
[*] WMSYS – Publicada

El atacante estuvo extrayendo toda la información, y almacenándola en formato CSV y TXT, ordenándola en directorios con un orden concienzudo.

Información de clientes, tal como documentos de identidad, pasaportes, nombre y apellidos, datos de contacto, nacionalidad y muchos otros datos de carácter personal fue almacenada en las tablas de usuarios.
Además, fueron también capaces de encontrar un path para subir ficheros, para ello usaron el perfil User5 y su correspondiente password:

Una conocida web shell, openDoc.jsp, fue probablemente empleada para ganar acceso al host, contrary y escalar privilegios como User5, principalmente para extraer la información.