遭暴露的神秘数据库把过半美国家庭的隐私翻了个底朝天

 聚焦源代码安全，网罗国内外最新资讯！

编译：奇安信代码卫士团队

微软的某个云服务器上暴露了一个公开可访问的数据库，内含8000多万美国家庭的个人数据，而这超过了一半的美国家庭数量。

虽然截至目前尚不清楚导致这24G数据遭暴露的公司是哪家，但发现这个未受保护数据库的 vpnMentor 公司的研究团队和黑客主义者 Noam Rotem 和 Ran Locar 目前正在找出该公司的身份。

这个数据库中的所有条目都包含“member_code”和“score”，说明这批海量数据属于将其用作会员跟踪工具的服务。

Rotem 和 Locar 发布报告称，被泄露的数据库用于识别“家庭”格式中的信息，而不是像多数此类数据收集机构那样关注个人。

被盗信息包括：

• 完整的住址，包括街道地址、城市、县市、州以及邮政编码

• 确切的经纬度

• 全名，包括姓氏和中间名开头字母

• 年龄

• 出生日期

虽然该数据库中存在很多人类可读数据，但它同时以“内部分配数值”的方式展现了与下列信息相关的代码信息：

• 所有权凭证

• 性别

• 婚姻状况

• 收入水平

• 房主身份

• 住宅类型

Rotem 和 Locar 指出，“这并非首个海量数据库遭暴露事件。然而，我们认为这是首个将人们的姓名、住址和收入泄露的大规模数据泄露事件。这个公开数据库是身份盗贼和其它攻击者的金矿。”

虽然数据泄露事件已经变得非常常见，但本次事件脱颖而出的原因不仅在于，8000万家庭人口意味着更庞大数量的受影响个人数量，相当于数亿人口的住址、位置和出生日期遭暴露；而且还出于如下几个原因：

首先，存储在数据库中的所有条目涉及的都是40岁以下的人群，这是连接这庞大的8000万家庭中所有个人的唯一接口。

其次，被暴露的每个条目中都具有“收入”和“房主”标记，它可能和“内部排序系统、税级或真实金额有关。”

然而，如同 vpnMentor 在报告中指出的那样，这意味着这个公开可访问数据库中的信息是由抵押或保险公司所有。尽管如此，数据库中并未包含付款、社会保障号码、或账号信息，而这些信息都是此类数据收集所应当包含的。

Rotem 在1月份也发现了一起重大事件。他发现 Amadeus 在线预订系统中出现一个安全问题，导致攻击者可能查看并修改数百万主流国际航空公司的客户的航空预订信息中的个人信息。

原文链接

https://www.bleepingcomputer.com/news/security/exposed-database-leaks-addresses-income-info-of-millions-of-americans/

题图：Pixabay License

本文由奇安信代码卫士编译，不代表奇安信观点，转载请注明“转自奇安信代码卫士 www.codesafe.cn”。