Компания Ростсельмаш сливает данные своих клиентов

Сегодня хочу поделиться своим мнением и опытом использования, сервисом картирования от компании Ростсельмаш.

Компания Ростсельмаш оборот 40.8 млрд рублей в год, сливает данные своих клиентов.

У компании есть сервис под название Agrotronic, который позволяет отслеживать данные по картированию. Для того чтобы пользоваться их сервисом, нужно купить датчики на комбайны стоимостью от 500 000 рублей за штуку. Когда техника убирает урожай на полях, на сайте отображаются данные по урожайности и тд.

Система предполагает, что Вы можете видеть данные со своих убранных полей для дальнейшего анализа.

Но, к сожалению, сервис обладает рядом критических ошибок, которые позволяют заходить на аккаунт крупных Агропредприятий, видеть всю информацию о движении их техники, её состоянии, данные обо всех полях, где проходила уборка и т.д. Это даёт нам информацию по урожаю и многое другое. Если ваша компания пользуется Agrotronic, значит любой человек, даже не авторизированный пользователь, может скачать ваши данные о предприятии в 2 клика.

Данную “уязвимость”, я обнаружил пару дней назад. При авторизации, у меня получилось зайти в Dashbord по состоянию. Где можно найти следующую информацию:

Данные о сервере:

Самое интересное — это активные сессии пользователей:

Где отображаются данные:

1. Логин

2. Фио

3. Номер телефона

4. API token

5. Время посещения

6. Можно с помощью одной кнопки разлогировать всех пользователей.

Интересно, что сервис не позволяет поменять пароль, и он ВСЕГДА совпадает с логином. Поэтому зная Ваш логин, знаем пароль.

Собственно, с помощью этих данных я и смог найти Админа сервиса, связался с ним по данным вопросам: почему их компания такое допустила, и когда это исправится, но ответа так и не получил.

Но на этом косяки не заканчиваются. Заходя в аккаунт, мы можем экспортировать свои поля и добавить технику. Что бы просматривать данные.

Но можно нарисовать геозону самому, на любом месте каком захотим. Выбираем область которая нам нужна, например Краснодарский край, где одна из самых больших урожайностей в стране.

Добавляем, выбираем дату, и видим данные об урожайности по чужим полям. И можем скачать её .shp файлом.

Итог:

Я не представляю, как компания с большими оборотами допустила такие ошибки. Однако это не все косяки о которых я рассказал, помимо этого существует ещё огромное количество багов. Напомню, что стоимость одного трекера может составлять пол миллиона рублей. И это, с перспективой того, что конкуренты могут увидеть всю Вашу технику и урожайность.