Oracle отрицает утечку данных 6 миллионов пользователей, но эксперты подтверждают подлинность опубликованных данных

Несмотря на отрицание Oracle касательно взлома серверов Oracle Cloud SSO и утечки данных 6 миллионов пользователей, BleepingComputer подтвердил подлинность слитых данных, связавшись с несколькими компаниями, чьи учетные записи оказались в утечке.

Что произошло?​

На прошлой неделе хакер под ником rose87168 заявил о взломе серверов Oracle Cloud и выставил на продажу:

• Данные аутентификации 6 миллионов пользователей.
• Зашифрованные пароли для SSO и LDAP.
• Список из 140 621 домена компаний и госорганизаций, якобы пострадавших от утечки.

Некоторые домены выглядели тестовыми, но в целом база данных содержала реальные рабочие учетные записи.

Oracle отрицает утечку​

Oracle заявила, что никакого взлома не было, а опубликованные учетные данные не относятся к Oracle Cloud.

«Взлома Oracle Cloud не было. Опубликованные учетные данные не связаны с Oracle Cloud. Ни один клиент Oracle Cloud не пострадал и не потерял данные.»

Тем не менее, BleepingComputer связался с несколькими компаниями, фигурирующими в базе утечки, и их представители подтвердили подлинность данных.

Факты, указывающие на взлом​

1. Подтвержденные утекшие данные
   • Компании подтвердили, что указанные LDAP-данные, email-адреса и имена пользователей являются реальными.
2. Файлы, созданные хакером на сервере Oracle
   • rose87168 предоставил URL на Archive.org, содержащий текстовый файл с его email-адресом, размещенный на "login.us2.oraclecloud.com".
   • Это указывает на возможность создания файлов на сервере, что свидетельствует о взломе.
3. Обнаруженная уязвимость
   • Cloudsek обнаружила, что сервер "login.us2.oraclecloud.com" работал на Oracle Fusion Middleware 11g (по состоянию на 17 февраля 2025 года).
   • Этот софт подвержен уязвимости CVE-2021-35587, позволяющей компрометацию Oracle Access Manager без аутентификации.
   • Хакер утверждает, что именно эта уязвимость использовалась для взлома.
   • После публикации информации сервер был отключен Oracle.
4. Переписка хакера с Oracle
   • rose87168 утверждает, что писал в службу безопасности Oracle (secalert_us@oracle.com) о найденной уязвимости.
   • В ответ он получил сообщение от адреса на ProtonMail, якобы связанного с Oracle, с просьбой продолжать общение через этот email.

BleepingComputer не смог подтвердить, действительно ли этот ProtonMail-адрес принадлежал сотруднику Oracle.

Реакция Oracle​

Oracle отказалась от дальнейших комментариев и не отвечает на повторные запросы от BleepingComputer.

Выводы​

Хотя Oracle официально отрицает факт взлома, собранные доказательства указывают на утечку данных:

• Компании подтвердили подлинность украденных данных.
• Хакер смог размещать файлы на сервере Oracle.
• Сервер Oracle работал на уязвимой версии ПО и был отключен после публикации информации.

Если утечка действительно произошла, это серьезный удар по безопасности Oracle Cloud и миллионам пользователей.

Источник