更新时间:2021-12-06 08:57:51
好吧,这当然不是一件好事:在一个未识别的Elasticsearch服务器上发现了一个不受保护的数据库,该数据库包含来自互联网的十亿用户的记录,其中包括“社交媒体帐户,电子邮件地址和电话号码”,具有服务器网址的任何人。
据彭博社报道,甚至更奇怪的是,没有人完全确定它是如何到达那里的。
该发现是由网络安全专家Bob Diachenko和Vinny Troia于10月做出的;他们发现的4 TB数据还包括Facebook,Twitter和LinkedIn资料信息。总而言之,该服务器包含40亿个用户帐户和6.5亿个唯一电子邮件地址的信息,影响了12亿人。
作为WIRED指出,虽然,它要记住什么数据也很重要不是东西像密码和信用卡号码:包括。所以至少有!Troia还告诉WIRED,该服务器不再在线,并且他已向FBI报告了该服务器的存在。
虽然尚不清楚数据如何存储在该服务器上,但Troia能够发现一些内容。首先,数据似乎来自多个数据集,其中一些来自提供“数据充实”功能的数据经纪人People Data Labs(PDL)。(TL; DR:它提供了互联网用户的数据点,因此品牌商可以创建针对这些用户的更具体的内容。)
其次,找到信息的服务器不属于PDL。Troia报道说,PDL“似乎在使用其服务器的Amazon Web Services”,而神秘的数据服务器则再次驻留在Google的Cloud Services上,这是不受保护的。服务器或数据均不受Google控制。
People Data Labs(PDL)的联合创始人Troia和Sean Thorne都向WIRED表示,该数据可能不是由于违反PDL而获得的,但可能是由购买数据以进行数据丰富的客户合法获得的目的,并使其不受保护。
索恩说:“该服务器的所有者可能使用了我们的一种扩充产品,以及许多其他数据扩充或许可服务。一旦客户从我们或任何其他数据提供者那里收到数据,数据就在他们的服务器上,安全是他们的责任。”
为了将他发现的数据与PDL所拥有的数据进行比较,Troia创建了一个免费帐户,该帐户每月包含1,000次搜索,然后将来自PDL搜索的数十个人与不受保护的服务器中的数据进行了核对。他找到了几乎完全匹配的记录,支持了他的理论,即PDL是许多数据的来源。找到的数据仅保留了用户的教育信息。
Troia还告诉WIRED,某些数据可能来自另一个数据代理Oxydata,该数据代理否认发生了任何形式的数据泄露事件-这也意味着可以完全合法地获得该数据。
在另一项公共服务法案中,Troia将数据提供给了违规票据交换所HaveIBeenPwned,该帐户使用户可以查看其帐户是否遭到破坏。
正如Troia所指出的,最可怕的事情是,如果这真的仅仅是对合法获得的数据的严重管理不善,那么就没有任何责任要让任何人对数据泄露负责。
Troia写道:“由于明显的隐私问题,云提供商将不会在其客户上共享任何信息,这将是一个死胡同。”“联邦调查局等机构可以通过法律程序(一种政府的正式要求)要求提供此信息,但它们无权强迫已确定的组织披露违规行为。”