Wyciek danych ze szkoły English Unlimited z Gdańska

Jakiś czas temu dostałem sygnał o tym, iż szkoła English Unlimited niewłaściwie przetwarza dane osobowe kandydatów starających się o pracę w tej firmie i każda osoba postronna może poznać dane kandydatów  takie jak imię i nazwisko, miejsce zamieszkania, wiek, doświadczenie zawodowe oraz telefon i email.Postanowiłem sprawdzić, czy rzeczywiście szkoła English Unlimited właściwie zabezpiecza dane swoich potencjalnych pracowników.

---

To co zobaczyłem podczas przeglądania przerosło moje najśmielsze oczekiwania.Zacznijmy od początku.Szkoła English Unlimited posiada stronę firmową mieszczącą się pod adresem www.eu.com.pl.Badanie rozpocząłem od wpisania w wyszukiwarkę nazwy strony szkoły, aby poznać co jest dostępne do publicznego dostępu na tej stronie.Oto co zobaczyłem:

To co widzimy na powyższym zrzucie ekranu potwierdza, że na stronie internetowej szkoły są przechowywane podania, CV i listy motywacyjne osób, które starają się o przyjęcie do pracy w szkole English Unlimited, głównie w charakterze pracownika biurowego lub pracownika księgarni.Podążyłem dalej tym tropem, znając już lokalizację gdzie przechowywane są te dane.

To co zobaczyłem w powyższej lokalizacji tylko utwierdziło moją tezę, dlaczego roboty wyszukiwarek zaindeksowały podania i cv osób starających się o pracę w firmie English Unlimited.Brak jakiegokolwiek zabezpieczenia, choćby najprostszego typu Options -DirList w htaccess.To właściwie nie zabezpieczenie, ale jedynie maskowanie.Czytajcie dalej.Na webserwerze wspomnianej firmy przechowywanych jest 1277 CV, podań i listów motywacyjnych osób, które starały się o pracę w tej firmie.Dokumenty te są gromadzone od września 2008 roku aż do maja 2011!

Co za dokumenty udostępnia szkoła English Unlimited?
Zobaczmy pobieżnie co znalazłem.Po pierwsze stos cv takie jakie standardowo wysyła się starając o pracę, czyli zawierających pełne dane osobowe i kontaktowe oraz przebieg doświadczenia zawodowego.




Tak więc po primo masę CV.Dalej, masę listów motywacyjnych o treści:

W nawiązaniu do ogłoszenia zamieszczonego na stronie www.eu.com.pl/praca, pragnę zaproponować swoją kandydaturę na stanowisko pracownika Biura Obsługi Klienta w Państwa firmie.

w nawiązaniu do oferty Państwa Firmy, którą miałam okazję poznać podczas surfowania w Internecie, pragnę złożyć swoją aplikację na stanowisko Pracownika Biura Obsługi Klienta.

Na stronie znajdziemy także masę zdjęć, którzy potencjalni chętni do pracy w charakterze pracownika biurowego dołączają do swojego CV.

Znajdziemy tam także zdjęcia, jak bawią się uczniowie szkoły English Unlimited na imprezach integracyjnych.


Znajdzie się także login usera do bazy MySQL

i kilka paszportów oraz dyplom ukończenia wyższej uczelni.


Przypuszczam, że obcokrajowcy na paszportach to lektorzy tej uczelni.