数据库配置错误致使TransCredit 泄露50 万美国人和加拿大人的财务数据

本文转载自微信公众号「祺印说信安」，作者何威风。转载本文请联系祺印说信安公众号。

据国外安全媒体报道，一家位于佛罗里达州杰克逊维尔的交通运输行业商业信用报告机构TransCredit 因配置错误致使50万人财务数据泄露。

Website Planet 的 IT 安全研究人员发现了一个配置错误的数据库，该数据库为运输行业商业信用报告机构 TransCredit 拥有。

据 Website Planet 的 Jeremiah Fowler 称，该数据库包含客户敏感财务和个人数据的宝库，其中包括加拿大和美国的货运和运输公司。

暴露了哪些数据?

总共，错误配置的数据库暴露了 822789 条记录，其中 600000 条是客户的信用记录，涉及500000多人。

暴露的信息包括：

• 全名
• 税号
• 电子邮件地址
• 付款历史
• 银行信息
• 社会安全号码 (SSN)
• 内部登录 ID 和密码
• EIN(雇主识别号码)
• ……

没有密码保护的数据库暴露

根据 Website Plant 的博客文章，该事件糟糕的是数据库在没有任何密码或安全认证的情况下可以被公开访问，这意味着任何知道如何查找错误配置数据库的人都可以访问这些数据。

此外，2020 年， 47%的在线 MongoDB 数据库被勒索软件团伙入侵。故数据库面临被勒索软件团伙入侵的风险。

对运输公司来说真正的危险是欺诈和诈骗。数据库包含足够的信息来创建一系列高度针对性的欺诈或诈骗。掌握内幕信息的犯罪分子可能很容易获得信任，公司或个人在验证税号或其他数据时不会那么可疑。

时间段

虽然目前尚不清楚该数据库究竟是何时在互联网上暴露的，或者是否被第三方恶意访问，但据研究人员透露他们在 2021 年 9 月 17 日发现了错误配置。然而，直到最近才对外分享该细节。据报道称，TransCredit 在收到来自 Website Planet 的警报后不久就迅速响应并保护了数据库。

数据的重要性，在我们生活中占比越来越重，对于我们个人来说一条数据可能价值不是太高，不过在黑色或灰色产业链来说，我们的数据就变成他们生产的“原材料”，从不同维度都可以说“数据即财富”，保护数据就是保护我们的财富。同时，“数据即个体”，保护数据就是保护我们自身。

转载请注明来自网盾网络安全培训，本文标题：《数据库配置错误致使TransCredit 泄露50 万美国人和加拿大人的财务数据》

标签：数据库配置错误