美國運通印度分公司資料庫曝光，致70萬人資訊洩露

10月23日，Mongo資料庫曝出漏洞，通過這個漏洞，任何人都能對資料庫進行檢視、編輯操作。

根據相關資料顯示，這些記錄似乎都來自印度的美國運通分公司。值得注意的是，在操作過程中並不需要使用任何特殊的程式，僅僅是通過Shodan一類的物聯網搜尋引擎或BinaryEdge.io來進行查詢就可以得到相應的資訊。

根據BinaryEdge.io的搜尋結果，該資料庫在10月20日首次被編入了索引，這意味著在資料庫被人發現之前，已經處於曝光狀態5天之久。

雖然大多資料都是加密的，但是仍然有一些包含了americanexpressindia.co.in域上的託管服務賬戶的可讀連結和詳細資訊的資料集存在，其中的使用者姓名以及電話號碼等資訊都是可查的。

在所有曝光資料中，最大的非加密資料集包含了689272條資料，其中包括了大部分美國運通在印度的客戶的資訊。而全部的加密資料大約有2332115條，也基本將所有涉及的使用者資訊洩漏了個底掉，姓名、地址、身份證號、PAN卡號等資訊一應俱全。

經過研究人員的瞭解，得出了大概的結論。他們認為資料庫並不是由AmEx親自管理的，而是由負責SEO的分包商或者一些其他客戶來對其代為管理。至於得出這個理論的原因，是因為暴露的資料中還發現了很多條諸如“campaignID”、“prequalstatus”或“leadID”等欄位。

研究人員表示，在發現了這些資料之後，立刻與美國運通取得了聯絡並彙報了漏洞資訊，對方也在第一時間將公開資料庫資訊進行了保護。此外，對方也澄清MongoDB的資料庫是通過安全加密的，一般都不會有未經允許就可以訪問的資料庫內容。

在本次事件中，AmEx的快速反應、及時採取的相關措施可以說是非常到位，他們幾乎在接到通知的同時便下線了伺服器並開始著手調查。

通過這件事，我們也可以知道，網路安全不論在開發過程中的哪一個階段都是非常重要的部分，甚至可以說是網際網路必須品。正如這次事件一樣，人們永遠都不會知道平日裡所仰仗的一些安全機制（比如防火牆），會在什麼時候突然崩潰，將你的隱私公之於眾。資料洩露問題已是屢見不鮮，這次AmEx洩露的是一些個人資訊，也許下一次就會是更關鍵的資料曝光。網路安全仍然不可掉以輕心。

*參考來源： ofollow,noindex">hackenproof ，Karunesh91編譯，轉載請註明來自FreeBuf.COM