История о том как с помощью бага была выгружена вся база данных пятерочки.

Как мы выгрузили всю базу данных пятерочки..

Мы находились в поисках способа регистрации неактивированных карт, зашли в телеграм бота - @ks5_bot, решили активировать карту через бота.

Успешно активировали карту и проверили баланс.

Тут начался анализ телеграм бота. Что же он из себя представляет.. "активация карты" (после которой доступна проверка баланса, показ карты и история покупок). Для отображения карты требуется дата рождения.
Но вдруг! Нам удается получить баланс карты только по номеру телефона. Мы нажали кнопку активации карты, ввели номер телефона и просто нажали кнопку "проверить баланс", не вводя код подтверждения.

Это был успех. Но для отображения номера карты нужна дата рождения.

Появилась проблема в том, что владельцу карты приходит код на номер телефона при попытке проверить баланс. Проблема решалась добавлением @ после номера телефона. Баланс отображался, а код владельцу карты не приходил.

Где взять дату рождения клиента, чтобы получить номер карты?

Всем давно известно, что клиенты вводят свои номера телефонов, даты рождения, имена и пароли на различных сайтах, информация с которых очень просто сливается. Есть огромное количество сервисов формата Big Data, которые за небольшую стоимость позволяют проверить номер телефона на наличие в различных слитых базах (а их тысячи). Номер как минимум 4 из 5 россиян находится в слитых базах (как минимум имена и дата рождения).
С одним из таких сервисов удалось договорится и нам предоставили огромную базу с номерами телефонов, датой рождения и именами. (почти 100 миллионов строк). Параллельно была взята база с вымышленными данными, которые мы регистрировали с 2018 по 2020 год (почти 4 миллиона строк).

Автоматический сбор данных
Была написана программа, которая отправляла боту номер телефона из базы Россиян и в ответ сохраняла наличие активной карты пятерочки, баланс в случае если на номере есть карта. (всего 30 процентов номеров оказались без карты пятерочки, лучший результат). После сохранения баланса с аккаунта доставался номер карты лояльности

Все работало как нужно! Но скорость проверки была 5 секунд на одну карту, что очень долго. Мы зарегистрировали 300 телеграм аккаунтов. Скороть проверки - 60 карт в секунд. На проверку 104 миллионов строк ушло почти 20 суток непрерывной работы и замены телеграм аккаунтов. На выходе была получена вся база данных (номер телефона | контактное лицо | баланс карты | номер карты). На этой теме было заработано несколько миллионов рублей, что безусловно окупило себя, а так же дало собрать всю персональную информацию о клиентах пятерочки и сдеанонить многих людей (так как просто по номеру телефона можно было смотреть начисления человека (адрес магазина) и списания бонусов). Продано было всего 0.1% от всей базы (а далее начали запрашивать смс со старого номера, после чего тема была пофикшена в ночь на 29.04 (история покупок сохранена не была). 70 миллионов карт пятерочки из которых 30 миллионов имеют более 0.1 рубля на балансе. Было собрано всё: карты рефка почтабанка и пятерочки, рефка альфабанка и пятерочки, бонусные газпрома и пятерочки, конкурсные коллаборации, виртуальные карты.

На данный момент баг пофикшен, большая часть базы данных пятерочки сохранена. И это ещё не конец.