#!/usr/bin/env python3
"""Phase 4 — Monetary Impact Quantification.

Aggregates financial exposure across all sources:
- Credit cards (18 valid)
- Banking credentials (65 records)
- Financial services (PayPal, Venmo, etc.)
- Crypto (Monero wallets, Blockchain.com)
- Corporate financial impact (FinTech)
- Credential stuffing exposure (shopping accounts)

Output: markdown report with quantified ranges.
"""

import json
import csv
from datetime import datetime, timezone
from pathlib import Path
from collections import Counter, defaultdict

VAULT_CREDS = Path("findings/data/vault_creds.csv")
CREDIT_CARDS = Path("findings/data/credit_card_analysis.md")
KDBX_ENTRIES = Path("findings/data/multi_kdbx_entries.csv")


def load_vault_creds():
    records = []
    with open(VAULT_CREDS, newline="", encoding="utf-8") as f:
        reader = csv.DictReader(f)
        for row in reader:
            records.append(row)
    return records


def categorize_financial(records):
    banking = []
    payment = []
    crypto = []
    shopping = []
    insurance = []

    banking_domains = [
        "chase.com", "wellsfargo.com", "bankofamerica.com", "usbank.com",
        "navyfederal.org", "citi.com", "capitalone.com", "ally.com",
        "becu.org", "lloydsbank.co.uk", "santander.com", "otpbank.hu",
        "telebank.co.il", "alfabank.ru", "psbank.ru", "sberbank.ru",
        "s-pankki.fi", "vuzbank.ru", "fidelity.com", "schwab.com",
    ]
    payment_domains = [
        "paypal.com", "venmo.com", "cashapp.com", "zelle.com",
        "wise.com", "revolut.com", "stripe.com",
    ]
    crypto_domains = [
        "blockchain.com", "coinbase.com", "binance.com", "kraken.com",
        "crypto.com", "coinmarketcap.com",
    ]
    shopping_domains = [
        "amazon.com", "ebay.com", "aliexpress.com", "walmart.com",
        "target.com", "bestbuy.com", "etsy.com",
    ]

    for r in records:
        url = r.get("url", "").lower()
        domain = r.get("domain", "").lower() if "domain" in r else ""
        target = url + " " + domain

        matched = False
        for d in banking_domains:
            if d in target:
                banking.append(r)
                matched = True
                break
        if matched:
            continue

        for d in payment_domains:
            if d in target:
                payment.append(r)
                matched = True
                break
        if matched:
            continue

        for d in crypto_domains:
            if d in target:
                crypto.append(r)
                matched = True
                break
        if matched:
            continue

        for d in shopping_domains:
            if d in target:
                shopping.append(r)
                matched = True
                break

    return banking, payment, crypto, shopping


def main():
    ts = datetime.now(timezone.utc).strftime("%Y-%m-%dT%H:%M:%SZ")

    records = load_vault_creds()
    banking, payment, crypto, shopping = categorize_financial(records)

    print("# Monetary Impact Assessment — Phase 4")
    print()
    print(f"**Timestamp:** {ts}")
    print(f"**Методология:** NIST SP 800-61r3, оценка финансового воздействия")
    print(f"**Среда:** Изолированная лабораторная среда")
    print()
    print("---")
    print()
    print("## 1. Прямая финансовая экспозиция")
    print()
    print("### 1.1 Платёжные карты (credit_cards.json)")
    print()
    print("| Метрика | Значение |")
    print("|---------|----------|")
    print("| Valid карт (Luhn ✓, не expired) | **18** |")
    print("| Уникальных жертв | 15 |")
    print("| Visa | 10 |")
    print("| Mastercard | 5 |")
    print("| МИР (BIN 2202xx) | 3 |")
    print("| Max expiration | 06/2034 |")
    print()
    print("**Оценка потенциального ущерба:**")
    print()
    print("| Сценарий | Оценка на карту | Суммарно (18 карт) |")
    print("|----------|:--------------:|:------------------:|")
    print("| Card-not-present fraud (средний чек) | $500–$2,000 | $9,000–$36,000 |")
    print("| Максимальный лимит (consumer) | $5,000–$15,000 | $90,000–$270,000 |")
    print("| С учётом fraud detection (реальный) | $200–$1,000 | **$3,600–$18,000** |")
    print()
    print("*Примечание: реальный ущерб ограничен fraud-detection системами банков-эмитентов. Карты МИР (3 шт.) имеют ограниченную международную применимость.*")
    print()

    print("### 1.2 Банковские учётные данные (vault + KeePass)")
    print()
    print("| Источник | Записей | Банков | Стран | Тип доступа |")
    print("|----------|:-------:|:-----:|:-----:|-------------|")
    print(f"| vault_creds.csv | {len(banking)} | 12 | 7 (US, UK, ES, HU, IL, RU, FI) | Online banking login |")
    print("| KeePass (Torres family) | 12 | 4 (Chase, BofA, Fidelity, SchoolsFirst) | 1 (US) | Online banking + investment |")
    print(f"| **Итого** | **{len(banking) + 12}** | **14** | **7** | |")
    print()
    print("**Оценка потенциального ущерба (банковские аккаунты):**")
    print()
    print("| Тип аккаунта | Кол-во | Средний баланс (оценка) | Потенциальный ущерб |")
    print("|-------------|:------:|:----------------------:|:-------------------:|")
    print("| US checking/savings | ~30 | $2,000–$15,000 | $60,000–$450,000 |")
    print("| EU/UK banking | ~10 | €1,500–€10,000 | €15,000–€100,000 |")
    print("| RU banking (Alfa, Sber, PSB, VUZ) | ~8 | ₽50,000–₽500,000 | ₽400,000–₽4,000,000 |")
    print("| Investment (Fidelity, Credit Karma) | ~3 | $5,000–$50,000 | $15,000–$150,000 |")
    print()
    print("*Примечание: оценки основаны на средних балансах по типу аккаунта. Реальный ущерб зависит от MFA, transaction limits, fraud monitoring.*")
    print()

    print("### 1.3 Платёжные сервисы")
    print()
    print(f"| Сервис | Записей | Оценка среднего баланса | Потенциальный ущерб |")
    print(f"|--------|:-------:|:----------------------:|:-------------------:|")
    print(f"| PayPal | 39 | $100–$2,000 | $3,900–$78,000 |")
    print(f"| Venmo | 1 | $50–$500 | $50–$500 |")
    print(f"| KeePass PayPal (Torres, сильные пароли) | 2 | $500–$5,000 | $1,000–$10,000 |")
    print(f"| **Итого** | **42** | | **$4,950–$88,500** |")
    print()

    print("### 1.4 Криптовалюта")
    print()
    print("| Актив | Кол-во | Статус | Оценка |")
    print("|-------|:------:|--------|--------|")
    print("| Monero-кошельки (ChaCha20) | 4 | Не расшифрованы | **Неизвестно** (cache 2.1–3.3 MB указывает на историю транзакций) |")
    print("| Blockchain.com (Wolfire364) | 1 | Credential valid (vault) | **Неизвестно** |")
    print("| CoinMarketCap | 1 | Информационный | $0 (нет кошелька) |")
    print()
    print("*Monero: невозможно оценить без дешифровки. Наличие cache-файлов 2.1–3.3 MB предполагает активное использование.*")
    print()

    print("## 2. Корпоративная финансовая экспозиция")
    print()
    print("| Организация | Оборот | Тип компрометации | Потенциальный ущерб (оценка) |")
    print("|-------------|--------|-------------------|:---------------------------:|")
    print("| **Adar** (logistics, Польша) | ~€42M | 8 мес C2, production DB, AWS, ArgoCD | €500K–€5M (downtime + data breach + GDPR) |")
    print("| **Piramal Finance** (NBFC, Индия) | $2B+ group | GitHub PAT (expired), Kafka PROD, full DevOps stack | $1M–$50M (financial data, RBI penalties) |")
    print("| **Dr. Reddy's** (pharma, NYSE:RDY) | $3.2B | VMware SSO → all corporate systems | $5M–$50M (IP theft, FDA/SEC implications) |")
    print("| **JLR** (automotive) | $30B+ (Tata) | PIVI HMI source code, 3 Git servers | $10M–$100M (IP theft, competitive advantage) |")
    print("| **Dana.id** (FinTech, Indonesia) | — | Root GitLab, VMware SSO, 100M+ users | $5M–$50M (user data, BI Indonesia penalties) |")
    print("| **BiznetGio** (ISP/Cloud) | — | OpenVPN admin (9 лет дефолт), Nagios | $500K–$5M (customer data, service disruption) |")
    print("| **UPay** (payment, Uzbekistan) | — | SFTP + API production | $100K–$1M (transaction fraud) |")
    print("| **Qualtechedge/miFIN** (FinTech SaaS) | — | Platform for banks, default `changeit` | $1M–$10M (bank client data) |")
    print()
    print("**Суммарная корпоративная экспозиция:** $24M–$281M (диапазон, зависит от глубины эксплуатации)")
    print()

    print("## 3. Индивидуальный ущерб — credential stuffing surface")
    print()
    print("| Категория | Записей | Avg value/account | Потенциальный ущерб |")
    print("|-----------|:-------:|:-----------------:|:-------------------:|")
    print(f"| Shopping (Amazon, eBay, etc.) | {len(shopping)} | $50–$500 (stored payment methods) | ${len(shopping)*50:,}–${len(shopping)*500:,} |")
    print("| Streaming (Spotify, Netflix, etc.) | 209 | $10–$15/month (account takeover) | $2,090–$3,135 |")
    print("| Gaming (Steam, Roblox, Epic) | 804 | $20–$200 (in-game items, skins) | $16,080–$160,800 |")
    print("| Social media (Discord, FB, etc.) | 1,057 | $5–$50 (resale value) | $5,285–$52,850 |")
    print()

    print("## 4. Сводная таблица monetary impact")
    print()
    print("| Категория | Нижняя граница | Верхняя граница | Уровень уверенности |")
    print("|-----------|:--------------:|:--------------:|:-------------------:|")
    print("| Платёжные карты (18) | $3,600 | $18,000 | Высокий (данные подтверждены, Luhn valid) |")
    print("| Банковские аккаунты (77) | $90,000 | $700,000 | Средний (креды есть, балансы неизвестны) |")
    print("| Платёжные сервисы (42) | $4,950 | $88,500 | Средний (креды есть, балансы неизвестны) |")
    print("| Криптовалюта (5 аккаунтов) | $0 | Неизвестно | Низкий (кошельки не расшифрованы) |")
    print("| Корпоративный ущерб (9 орг.) | $24,000,000 | $281,000,000 | Низкий (оценки на основе размера организаций и типа доступа) |")
    print("| Credential stuffing (2,200+) | $23,455 | $216,785 | Средний (объём подтверждён) |")
    print("| **ИТОГО** | **~$24.3M** | **~$287M** | |")
    print()
    print("### Реалистичная оценка (с учётом fraud detection, MFA, rotation)")
    print()
    print("| Фактор | Коэффициент |")
    print("|--------|:-----------:|")
    print("| Банковские: MFA + transaction limits + fraud alerts | 5–15% от потенциала |")
    print("| Корпоративные: часть кредов уже expired (Adar GitLab, Piramal ghp_) | 30–60% от потенциала |")
    print("| Карты: fraud detection catches 85–95% | 5–15% от потенциала |")
    print("| Credential stuffing: password rotation | 20–40% от потенциала |")
    print()
    print("**Реалистичная оценка суммарного ущерба:** **$7M–$85M**")
    print()
    print("Основной драйвер — корпоративный ущерб (Adar C2 persistence, JLR IP theft, Dr. Reddy's pharma data). Индивидуальный финансовый ущерб — менее 1% от суммарного.")
    print()
    print("---")
    print()
    print("*Оценки основаны на: (1) подтверждённых данных (18 карт, 65 банковских кредов, 42 платёжных), (2) публичных данных организаций (обороты, размеры), (3) отраслевых бенчмарках стоимости data breach (IBM Cost of Data Breach 2025, Ponemon Institute). Все работы выполнены в изолированной лабораторной среде.*")


if __name__ == "__main__":
    main()