搜索

[4038] 2017-07-14_云泄露：Verizon公司超1400万用户信息外泄

文档创建者：s7ckTeam
浏览次数：32
最后更新：2025-01-16
2017-07-14_云泄露：Verizon公司超1400万用户信息外泄 云 泄 露 ： V e r i z o n 公 司 超 1 4 0 0 万 用 户 信 息 外 泄 原 创   E 安 全   E 安 全   2 0 1 7 - 0 7 - 1 4 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 安 全 7 月 月 1 4 日 讯 日 讯   V e r i z o n 公 司 超 过 公 司 超 过 1 4 0 0 万 用 户 个 人 资 料 因 第 三 方 供 应 商 云 服 务 器 安 全 配 置 不 当 遭 到 外 泄 。 万 用 户 个 人 资 料 因 第 三 方 供 应 商 云 服 务 器 安 全 配 置 不 当 遭 到 外 泄 。 网 络 安 全 公 司 U p G u a r d 的 网 络 风 险 小 组 根 据 下 载 样 本 中 美 国 电 信 运 营 商 V e r i z o n 公 司 的 客 户 姓 名 、 地 址 、 帐 户 信 息 以 及 帐 户 个 人 身 份 编 号 （ 简 称 P I N ） 的 具 体 情 况 进 行 平 均 值 分 析 ， 并 最 终 断 定 由 于 一 套 云 文 件 存 储 库 存 在 配 置 错 误 ， 导 致 目 前 该 公 司 已 经 有 多 达 1 4 0 0 万 用 户 数 据 遭 到 外 泄 。 该 云 服 务 器 由 V e r i z o n 公 司 第 三 方 电 话 软 件 与 数 据 供 应 商 N I C E   S y s t e m s 公 司 持 有 并 负 责 运 营 。 （ 更 新 消 息 更 新 消 息 ： 截 至 太 平 洋 标 准 时 间 7 月 1 2 日 下 午 3 点 ， N I C E   S y s t e m s 与 V e r i z o n 双 方 已 经 确 认 了 此 次 信 息 泄 露 事 故 的 存 在 ， 而 V e r i z o n 方 面 的 发 言 人 则 表 示 只 有 6 0 0 万 客 户 信 息 遭 到 曝 光 。 ） U p G u a r d 公 司 网 络 风 险 小 组 致 力 于 发 现 泄 露 至 网 络 之 上 的 各 类 数 据 ， 旨 在 借 此 保 护 相 关 各 方 并 提 高 人 们 对 于 数 字 化 领 域 内 由 网 络 风 险 导 致 的 数 据 安 全 问 题 的 重 视 程 度 。 数 据 泄 露 主 要 危 害 这 套 数 据 存 储 库 由 N I C E   S y s t e m s 公 司 以 色 列 赖 阿 南 纳 总 部 内 的 工 程 师 负 责 管 理 ， 属 于 A m a z o n   W e b   S e r v i c e s 的 S 3 存 储 桶 ， 就 目 前 来 看 似 乎 用 于 记 录 某 类 特 定 客 户 的 呼 叫 数 据 。 V e r i z o n 公 司 为 全 美 规 模 最 大 的 无 线 服 务 运 营 商 ， 其 后 台 与 呼 叫 中 心 使 用 的 正 是 N I C E   S y s t e m s 提 供 的 技 术 方 案 。 另 外 ， 存 储 在 该 服 务 器 当 中 的 法 语 文 本 文 件 还 涉 及 来 自 巴 黎 的 O r a n g e   S . A . 电 信 公 司 （ 同 为 N I C E   S y s t e m s 公 司 的 内 部 数 据 合 作 伙 伴 ） ， 主 要 负 责 为 欧 洲 及 非 洲 客 户 提 供 服
务 。 除 了 允 许 通 过 此 S 3 存 储 桶 的 U R L 公 开 访 问 用 户 名 称 、 地 址 及 帐 户 信 息 等 相 关 风 险 之 外 ， 其 中 还 将 用 于 验 证 客 户 身 份 的 V e r i z o n 帐 户 密 码 与 相 关 电 话 号 码 一 同 列 出 ， 这 一 点 尤 其 值 得 关 注 。 拥 有 这 些 帐 户 P I N 码 的 诈 骗 者 将 能 够 成 功 冒 充 客 户 向 V e r i z o n 公 司 拨 打 电 话 以 获 取 帐 户 访 问 权 限 。 目 前 ， 移 动 通 信 领 域 正 越 来 越 多 地 使 用 双 因 素 验 证 机 制 ， 一 旦 这 些 用 户 的 访 问 权 限 丢 失 显 然 将 带 来 巨 大 威 胁 。 第 三 方 供 应 商 存 在 风 险 最 后 ， 此 番 数 据 曝 光 亦 成 为 第 三 方 供 应 商 在 处 理 敏 感 数 据 时 可 能 引 发 风 险 的 有 力 例 证 。 U p G u a r d 公 司 在 今 年 6 月 1 3 日 首 次 向 V e r i z o n 公 司 发 出 了 数 据 泄 露 的 通 知 意 见 ， 但 令 人 不 安 的 是 后 者 直 到 6 月 2 2 日 才 彻 底 关 闭 这 一 外 泄 源 。 第 三 方 供 应 商 风 险 属 于 商 业 风 险 ； 共 享 敏 感 商 业 数 据 并 不 会 转 移 这 种 风 险 ， 而 只 是 将 其 传 播 至 其 它 合 作 伙 伴 处 ； 另 外 ， 云 数 据 泄 露 能 够 跨 越 各 个 大 洲 并 一 次 性 影 响 多 家 企 业 。 N I C E   S y s t e m s 公 司 以 往 曾 经 提 供 过 用 于 支 持 国 家 监 控 计 划 内 相 关 侵 入 行 为 的 技 术 方 案 ， 而 这 样 的 背 景 无 疑 令 此 次 数 据 外 泄 更 加 令 人 不 安 。 消 费 者 们 应 该 对 V e r i z o n 公 司 将 客 户 信 息 内 的 私 人 数 据 通 过 可 下 载 存 储 库 形 式 委 托 给 其 它 美 国 主 要 企 业 进 行 离 岸 记 录 的 作 法 感 到 震 惊 ， 特 别 是 考 虑 到 这 种 公 开 分 享 U R L 的 方 式 意 味 着 相 关 受 害 者 永 远 无 法 知 晓 到 底 是 哪 些 企 业 在 共 享 这 些 信 息 。 发 现 过 程 2 0 1 7 年 6 月 8 日 ， U p G u r d 公 司 网 络 风 险 研 究 主 管 克 里 斯 · 维 克 里 发 现 一 套 基 于 云 端 的 A m a z o n   S 3 数 据 存 储 库 ， 其 配 置 为 可 完 全 下 载 并 允 许 公 开 进 行 访 问 。 这 意 味 着 只 需 要 输 入 对 应 的 S 3   U R L ， 任 何 一 方 即 可 轻 松 访 问 其 数 据 库 中 的 数 T B 敏 感 内 容 。 该 存 储 库 的 子 域 名 为 “ v e r i z o n - s f t p ” ， 这 充 分 表 明 了 文 件 的 具 体 来 源 。 通 过 查 看 ， 该 存 储 库 内 包 含 六 个 文 件 夹 ， 且 标 题 根 据 时 间 命 名 （ 自 2 0 1 7 年 1 月 到 2 0 1 7 年 6 月 ） 。 另 外 ， 其 中 还 存 在 部 分 格 式 为 . z i p 的 文 件 ， 具 体 包 括 “ V o i c e S e s s i o n F i l t e r e d . z i p ” 以 及 “ W e b M o b i l e C o n t a i n m e n t . z i p ” 等 。 虽 然 这 些 文 件 无 法 通 过 . z i p 直 接 解 压 ， 但 可 以 将 格 式 更 改 为 . g z i p 并 利 用 对 应 程 序 完 成 内 容 提 取 。 “ v e r i z o n - s f t p ” 存 储 库 以 月 份 命 名 的 各 个 文 件 夹 包 含 与 当 月 份 对 应 的 每 日 记 录 子 目 录 。 而 在 每 日 子 目 录 内 则 通 常 存 在 数 十 个 压 缩 文 件 。 根 据 种 种 迹 象 来 看 ， 这 应 该
是 一 套 自 动 每 日 记 录 文 件 存 储 库 。 例 如 ， 文 件 夹 的 最 后 登 录 时 间 为 2 0 1 7 年 6 月 2 2 日 ， 其 名 称 对 应 为 “ J u n e - 2 0 1 7 “ 。 “ A p r - 2 0 1 7 ” 文 件 夹 中 的 每 日 日 志 文 件 夹 在 解 压 缩 之 后 ， 这 些 日 志 记 录 文 件 夹 内 容 释 放 出 大 小 与 压 缩 前 基 本 相 当 的 文 本 文 件 ， 其 中 最 大 的 文 件 达 到 2 3   G B 。 通 过 进 一 步 分 析 ， 其 整 体 结 构 逐 渐 趋 于 明 朗 ： 大 型 文 本 似 乎 由 各 语 音 识 别 日 志 文 件 组 成 ， 即 “ T i m e I n Q u e u e ” 与 “ T r a n s f e r T o A g e n t ” 等 打 给 客 户 支 持 热 线 的 个 人 通 话 内 容 。 通 过 对 子 域 名 h t t p s : / / v o i c e p o r t a l f h . v e r i z o n . c o m 进 行 p i n g 操 作 ， 可 进 一 步 确 定 用 于 生 成 此 数 据 的 语 音 激 活 技 术 。 但 这 还 仅 仅 只 是 开 始 。 日 志 当 中 还 包 含 大 量 V e r i z o n 帐 户 细 节 信 息 ， 具 体 包 括 客 户 姓 名 、 地 址 、 电 话 号 码 以 及 一 系 列 用 于 指 示 客 户 满 意 度 的 信 息 追 踪 字 段 。 例 如 “ 沮 丧 级 别 ” 与 “ 等 待 安 装 光 纤 ” 等 状 态 。 另 外 ， V e r i z o n 还 设 定 有 多 种 数 字 评 级 值 ， 并 以 “ 真 ” 、 “ 假 ” 、 “ 是 ” 与 “ 否 ” 进 行 标 注 。 不 过 在 这 些 大 规 模 呼 叫 记 录 当 中 ， 最 敏 感 的 数 据 （ 例 如 ‘ P I N 码 ’ 与 ‘ C u s t C o d e ’ 等 ） 受 到 了 屏 蔽 。
一 个 通 话 记 录 ， 最 敏 感 的 数 据 被 屏 蔽 但 仍 有 相 当 一 部 分 记 录 并 未 屏 蔽 全 部 细 节 信 息 。 对 于 规 模 较 小 的 呼 叫 记 录 ， 即 完 全 没 有 采 取 此 类 屏 蔽 机 制 ， 访 问 者 能 够 轻 松 获 取 “ P I N 码 ” 及 其 它 类 似 的 重 要 数 据 。 而 这 类 帐 户 P I N 码 属 于 评 判 来 电 者 是 否 身 为 合 法 客 户 的 重 要 依 据 ， 负 责 确 保 欺 诈 者 无 法 访 问 或 更 改 V e r i z o n 帐 户 设 置 。 而 其 它 字 段 及 其 答 案 （ 例 如 ‘ 呼 叫 中 心 密 码 ’ ） 则 表 明 哪 些 帐 户 持 有 人 要 求 利 用 更 高 的 客 户 服 务 电 话 安 全 标 准 进 行 帐 户 设 置 修 改 。 立 足 于 此 ， 一 旦 诈 骗 者 拥 有 这 部 分 日 志 信 息 ， 其 即 可 轻 松 判 断 哪 些 客 户 更 容 易 受 到 危 害 。 更 可 怕 的 是 ， 在 单 独 一 份 这 样 的 文 件 当 中 ， 就 包 含 有 6 0 0 0 条 未 经 屏 蔽 的 P I N 码 记 录 。 一 个 通 话 记 录 ， 暴 露 最 敏 感 的 数 据 法 国 电 信 运 营 商 O r a n g e 公 司 在 该 S 3 服 务 器 当 中 存 储 的 数 据 则 相 对 缺 少 话 题 性 。 正 如 前 文 所 提 到 ， O r a n g e 公 司 为 N I C E   S y s t e m s 的 另 一 位 合 作 伙 伴 ， 且 与 V e r i z o n 在 欧 洲 数 据 市 场 上 存 在 竞 争 关 系 。 源 自 巴 黎 电 信 O r a n g e   S A 的 法 语 数 据 虽 然 就 目 前 来 看 ， O r a n g e 公 司 泄 露 的 数 据 并 不 是 非 常 敏 感 ， 但 是 这 些 信 息 被 包 含 在 了 由 V e r i z o n 所 使 用 的 存 储 库 当 中 。 第 三 方 安 全 的 重 要 性 这 套 关 键 性 数 据 存 储 库 暴 露 出 的 最 大 问 题 在 于 ， 其 并 非 由 企 业 本 身 所 持 有 ， 而 是 归 第 三 方 供 应 商 负 责 掌 控 着 运 营 。 作 为 第 三 方 供 应 商 的 N I C E   S y s t e m s 公 司 则 一 直 开 放 该 A W S   S 3 存 储 桶 的 公 开 访 问 权 限 ， 并 导 致 大 量 V e r i z o n 客 户 的 个 人 信 息 遭 到 泄 露 。 通 过 大 部 分 网 站 副 本 与 市 场 营 销 资 料 来 判 断 ， N I C E   S y s t e m s 公 司 确 实 是 一 家 为 呼 叫 中 心 提 供 专 用 技 术 方 案 的 厂 商 ， 而 呼 叫 中 心 则 正 是 V e r i z o n 业 务 链 中 的 重 要 组 成 部 分 。 根 据 美 国 证 券 交 易 委 员 会 （ 简 称 S E C ） 的 相 关 文 件 显 示 ， N I C E   S y s t e m s 将 V e r i z o n 称 为 “ 主 要 合 作 伙 伴 ” ， 且 负 责 为 该 电 信 运 营 商 提 供 用 于 监 控 呼 叫 中 心 运 作 效 率 的 员 工 管 理 追 踪 工 具 等 软 件 产 品 。 N I C E 企 业 软 件 套 件 当 中 还 提 供 其 它 多 种 软 件 方 案 ， 包 括 数 据 与 语 音 分 析 软 件 ， 这 标 志 着 N I C E 方 面 确 实 在 呼 叫 中 心 客 户 最 为 重 视 的 技 术 层 面 投 入 了 大 量 研 发 资 源 。 除 了 上 述 直 接 业 务 ， 这 家 以 色 列 公 司 还 凭 借 着 一 系 列 相 当 知 名 的 对 美 企 业 并 购 与 V e r i z o n 在 北 美 市 场 上 建 立 起 极 为 紧 密 的 业 务 合 作 关 系 。 2 0 1 6
年 ， N I C E 公 司 收 购 了 i n C o n t a c t 与 V P I 两 家 公 司 ， 二 者 此 前 都 曾 为 V e r i z o n 提 供 后 台 办 公 与 呼 叫 中 心 业 务 软 件 。 简 而 言 之 ， N I C E   S y s t e m s 公 司 是 一 位 值 得 信 赖 的 V e r i z o n 合 作 伙 伴 ， 但 美 方 可 能 已 经 意 识 到 这 些 合 作 伙 伴 能 够 访 问 其 数 据 。 这 类 第 三 方 供 应 商 每 一 天 都 会 接 触 到 大 量 毫 不 知 情 的 消 费 者 的 个 人 敏 感 信 息 。 而 企 业 自 身 的 网 络 风 险 与 企 业 同 第 三 方 供 应 商 间 的 网 络 风 险 在 本 质 上 并 无 区 别 。 供 应 商 方 面 引 发 的 任 何 数 据 泄 露 都 会 对 客 户 造 成 严 重 影 响 ， 并 与 企 业 自 身 泄 露 事 故 一 样 给 利 益 相 关 者 造 成 巨 大 损 失 。 除 了 客 户 姓 名 、 地 址 与 电 话 号 码 等 可 由 诈 骗 者 及 营 销 人 员 直 接 使 用 的 敏 感 信 息 之 外 ， V e r i z o n 帐 户 P I N 码 的 泄 露 还 导 致 其 辛 苦 建 立 起 的 信 任 体 系 瞬 间 崩 溃 。 在 这 样 的 背 景 之 下 ， 欺 诈 者 可 以 要 求 V e r i z o n 呼 叫 中 心 的 操 作 人 员 配 合 其 完 成 几 乎 所 有 操 作 ， 包 括 “ 寄 换 S I M 卡 ” 以 进 行 诈 骗 ， 或 者 如 《 威 格 报 》 提 到 的 破 坏 双 因 素 验 证 机 制 ： “ 双 因 素 验 证 机 制 中 最 大 的 缺 点 在 于 无 线 运 营 商 本 身 。 如 果 您 能 够 入 侵 攻 击 目 标 所 选 择 的 无 线 运 营 商 帐 户 ， 例 如 A T & T 、 V e r i z o n 或 者 T - M o b i l e ， 则 可 进 一 步 劫 持 目 标 接 收 到 的 任 何 通 话 或 者 文 本 内 容 。 对 于 像 S i g n a l 这 样 的 手 机 应 用 ， 诈 骗 者 完 全 能 够 将 其 与 给 定 电 话 号 码 绑 定 起 来 ， 进 而 劫 持 整 个 帐 户 。 与 此 同 时 ， 运 营 商 在 采 用 双 因 素 验 证 方 面 一 直 表 现 得 非 常 迟 缓 ， 而 且 更 倾 向 于 使 用 P I N 码 或 者 其 它 易 被 绕 过 的 安 全 方 案 。 由 于 两 大 网 络 服 务 公 司 控 制 了 大 部 分 市 场 份 额 ， 因 此 其 确 实 没 有 动 力 积 极 提 升 服 务 安 全 水 平 。 ” 需 要 强 调 的 是 ， 应 用 程 序 与 数 字 化 帐 户 由 于 第 三 方 供 应 商 数 据 曝 光 事 故 而 受 到 牵 连 的 状 况 绝 不 是 什 么 科 幻 猜 想 ， 这 正 是 当 前 网 络 风 险 的 真 实 体 现 。 V e r i z o n / N I C E   S y s t e m s 双 方 此 次 造 成 的 云 存 储 数 据 泄 露 也 再 一 次 证 明 ， 我 们 倾 注 心 力 所 打 造 出 的 高 科 技 系 统 已 经 在 日 常 生 活 中 的 各 个 层 面 带 来 极 为 深 远 的 影 响 。 1 4 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 7 月 月   0 1 P C I   D S S   3 . 2 第 三 方 支 付 行 业 安 全 性 提 升 指 南 0 2 网 络 情 报 即 服 务 ： 内 部 与 外 包 间 的 两 难 选 择 0 3 美 国 国 防 承 包 商 工 厂 芯 片 代 工 设 备 感 染 神 秘 病 毒 0 4 美 国 防 承 包 商 博 思 艾 伦 泄 露 五 角 大 楼 相 关 敏 感 文 件 0 5 从 美 国 国 防 承 包 商 第 一 季 度 财 报   看 网 络 安 全 趋 势 0 6 N S A 承 包 商 因 窃 取 机 密 数 据 被 捕   再 次 敲 响 内 部 威 胁 警 钟 0 7 黑 客 承 包 商 A g l a y a 宣 称 其 持 有 一 份 未 知 软 件 B u g 清 单
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理