Утечка Данных: Миллион Удостоверений Личности Клиентов Каннабис-Клубов Оказались В Открытом Доступе

Почти миллион удостоверений личности людей со всего мира, посещающих каннабис-клубы и кофешопы, были скомпрометированы и выставлены на всеобщее обозрение в интернете. Причиной этому послужила незащищенная серверная часть платформы Cannabis Club Systems, используемой для управления членством в таких заведениях. Компания-разработчик, зарегистрированная в Ирландии под названием Nefos Solutions Ltd., несмотря на своевременное уведомление о проблеме, медленно реагировала на эту ситуацию в течение нескольких недель, что привело к серьезному нарушению конфиденциальности пользователей и требований Общего регламента по защите данных (GDPR).

В ноябре 2025 года Cannabis Club Systems с гордостью заявляла о том, что число ее клиентов, использующих платформу для управления кофешопами, социальными каннабис-клубами и другими структурами по распространению или потреблению каннабиса, превысило 900. Сооснователь компании Ахаб Торнхилл тогда утверждал: «Мы не просто адаптируем технологии диспансеров, мы создаем цифровую инфраструктуру социальных каннабис-клубов с нуля». Однако эта инфраструктура, заявленная как испанская по происхождению, но управляемая ирландской компанией Nefos Solutions Ltd., оказалась крайне ненадежной.

Миллион пользователей в опасности, включая 104 000 французов

Инфраструктура, призванная упростить коммерческое управление кофешопами, в течение по крайней мере нескольких недель страдала от серьезных недостатков в сфере безопасности. Связанная с ней платформа фактически раскрывала личную информацию и сканы удостоверений личности членов и клиентов аффилированных клубов и кофешопов.

«Клубы, использующие Cannabis Club Systems, предлагают зарегистрироваться через мобильное приложение, которое требует сканирования удостоверения личности. Изучая код этого приложения, я обнаружил, что серверная часть платформы была абсолютно незащищена», — объяснил Сэмми Аздуфаль, специалист по искусственному интеллекту, который ранее выявил проблему со шпионскими видеонянями китайской компании Meari.

Исследуя конечные точки платформы, он обнаружил места хранения удостоверений личности и заметил, что каждый пользователь связан с последовательным числовым идентификатором. Как нетрудно догадаться, достаточно было увеличить ID на единицу, чтобы перейти к следующему пользователю и просмотреть его удостоверение личности.

Запустив цикл по соответствующей базе данных, Сэмми Аздуфаль пришел к выводу, что платформа содержит и раскрывает данные более миллиона любителей каннабиса из 40 стран, включая чуть более 104 000 владельцев французских паспортов или национальных удостоверений личности. В общей сложности он насчитал 1 082 680 зарегистрированных профилей, из которых 985 841 содержали официальные документы. Он также обнаружил данные о 377 клубах (среди них очень известные среди любителей заведения, такие как знаменитые амстердамские кофешопы Bulldog), что гораздо меньше заявленных Nefos 900 клиентов.

«Модель CSC [социального клуба каннабиса] работает по принципу конфиденциальности. Члены доверяют клубу сохранение своей конфиденциальной информации, поскольку альтернативой является черный рынок. Это доверие зависело от конфигурации сервера Nefos. Однако Nefos ничего не настроила», — подытожил автор открытия.

Puffpal: приложение, которое знало слишком много

Помимо своей платформы управления, Cannabis Club Systems предлагает опциональное мобильное приложение (для Android и iOS) под названием Puffpal, которое позволяет конечному пользователю находить ближайшие каннабис-клубы и управлять формальностями регистрации в цифровом виде, сканируя свое удостоверение личности.

После первого разговора с Сэмми Аздуфалем была проведена проверка кода Android-версии приложения, которая подтвердила, что основные конечные точки платформы действительно были доступны без какой-либо клиентской аутентификации.