搜索

[4056] 2017-07-19_云泄露：《华尔街日报》母公司道琼斯220万客户信息外泄

文档创建者：s7ckTeam
浏览次数：26
最后更新：2025-01-16
2017-07-19_云泄露：《华尔街日报》母公司道琼斯220万客户信息外泄 云 泄 露 ： 《 华 尔 街 日 报 》 母 公 司 道 琼 斯 2 2 0 万 客 户 信 息 外 泄 原 创   E 安 全   E 安 全   2 0 1 7 - 0 7 - 1 9 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 7 月 1 9 日 讯   网 络 安 全 公 司 U p G u a r d 的 网 络 风 险 小 组 发 布 报 告 指 出 ， 由 世 界 一 流 的 商 业 财 经 信 息 提 供 商 、 新 闻 媒 体 出 版 集 团 道 琼 斯 公 司 持 有 的 一 套 云 文 件 存 储 库 存 在 配 置 错 误 ， 且 其 中 包 含 的 来 自 数 百 万 家 企 业 客 户 的 个 人 及 财 务 敏 感 信 息 以 半 公 开 形 式 接 受 网 络 访 问 。 尽 管 道 琼 斯 方 面 证 实 至 少 有 2 2 0 万 客 户 受 到 影 响 ， 但 根 据 U p G u a r d 方 面 的 计 算 ， 受 影 响 客 户 量 可 能 接 近 4 0 0 万 。 推 荐 阅 读 ： 推 荐 阅 读 ： 云 泄 露 ： 云 泄 露 ： V e r i z o n 公 司 超 公 司 超 1 4 0 0 万 用 户 信 息 外 泄 万 用 户 信 息 外 泄 U p G u a r d 网 络 风 险 小 组 是 一 个 致 力 于 发 现 网 络 数 据 泄 露 事 故 的 单 位 ， 其 负 责 保 护 敏 感 信 息 、 防 止 潜 在 的 滥 用 风 险 ， 以 及 提 高 公 众 对 于 数 字 化 时 代 之 下 影 响 数 据 安 全 性 的 各 类 风 险 问 题 的 认 知 。 为 何 泄 露 ？ 此 次 泄 露 的 数 据 包 括 《 华 尔 街 日 报 》 以 及 《 巴 伦 周 刊 》 在 内 的 各 道 琼 斯 公 司 出 版 物 的 数 百 万 名 订 阅 者 的 姓 名 、 地 址 、 帐 户 信 息 、 电 子 邮 件 地 址 以 及 信 用 卡 后 四 位 号 码 。
另 外 ， 此 次 一 同 被 暴 露 在 云 端 的 还 有 “ 道 琼 斯 风 险 与 合 规 ” 系 列 数 据 库 当 中 的 1 6 0 万 条 记 录 ， 这 些 数 据 库 属 于 一 个 仅 供 企 业 订 阅 的 情 报 项 目 ， 用 以 帮 助 各 金 融 机 构 遵 循 法 规 以 打 击 洗 钱 活 动 。 此 次 暴 露 的 数 据 存 储 库 为 一 个 A m a z o n   W e b   S e r v i c e s   S 3 存 储 桶 ， 管 理 人 员 通 过 权 限 设 置 将 其 配 置 为 允 许 任 何 A W S “ 认 证 用 户 ” 通 过 该 存 储 库 的 U R L 进 行 数 据 下 载 。 根 据 A m a z o n 方 面 给 出 的 定 义 ， 所 谓 “ 认 证 用 户 ” 是 指 “ 任 何 拥 有 A m a z o n   A W S 帐 户 的 用 户 ” ， 而 A W S 帐 户 免 费 提 供 注 册 。 此 次 云 数 据 泄 露 事 件 说 明 不 安 全 的 数 据 管 理 机 制 会 带 来 持 续 威 胁 ， 而 错 误 的 安 全 设 置 则 直 接 导 致 数 百 万 道 琼 斯 客 户 的 敏 感 信 息 被 他 人 窥 探 。 就 此 前 成 功 实 施 攻 击 的 类 似 案 例 来 说 ， 这 些 暴 露 在 云 端 的 数 据 很 可 能 被 恶 意 人 士 所 利 用 。 更 为 着 急 的 是 ， 道 琼 斯 公 司 对 这 一 事 故 讳 莫 如 深 的 态 度 更 是 致 使 数 据 遭 遇 曝 光 的 客 户 无 法 快 速 行 动 以 保 护 自 己 的 个 人 信 息 。 发 现 过 程 2 0 1 7 年 5 月 3 0 日 晚 ， U p G u a r d 网 络 风 险 研 究 主 管 克 里 斯 · 维 克 里 发 现 了 一 个 采 用 “ d j - s k y n e t ” 子 域 名 且 可 供 A W S 认 证 用 户 访 问 的 A m a z o n   S 3 云 数 据 存 储 库 。 尽 管 存 储 库 本 身 的 标 题 与 内 容 指 明 这 部 分 数 据 很 可 能 源 自 道 琼 斯 ， 这 一 点 此 后 也 得 到 了 道 琼 斯 公 司 首 席 信 息 安 全 官 的 证 实 ， 但 其 中 的 “ S k y n e t ” — — 即 天 网 ， 似 乎 是 指 《 终 结 者 二 ： 审 判 日 》 电 影 中 的 毁 灭 性 计 算 机 系 统 。 今 年 6 月 1 日 ， 维 克 里 开 始 下 载 该 存 储 库 中 的 内 容 ， 5 天 之 后 发 现 内 容 不 再 允 许 下 载 。 “ d j - s k y n e t “ 存 储 库 当 中 包 含 数 十 个 目 录 ， 其 中 多 个 文 件 夹 以 ” b u i l d _ a s s e t s “ 、 ” d e v e l o p m e n t “ 、 ” c u s t o m e r l o g i n “ 以 及 ” c u s t _ s u b s c r i p t i o n “ 等 短 语 命 名 。 在 点 击 其 中 第 四 个 文 件 夹 后 ， 可 以 看 到 文 件 夹 中 包 含 4 个 经 过 压 缩 的 A p a c h e   A v r o 文 件 ， 总 存 储 数 据 有 7 7 1   M B ； 其 中 最 小 的 文 件 为 8 9 M B ， 解 压 完 成 后 的 文 件 原 始 大 小 为 2   G B 。 t a b l e = i c s _ c u s t _ s u b s c r i p t i o n ” 文 件 夹 当 中 的 内 容 在 解 压 完 成 之 后 ， 可 以 看 到 这 些 文 件 属 于 由 道 琼 斯 客 户 数 据 组 成 的 四 份 大 型 文 本 日 志 ， 并 可 轻 松 将 其 导 入 数 据 库 以 进 行 内 部 记 录 与 保 存 。 在 文 本 文 件 当 中 填 充 的 数 据 字 段 包 括 客 户 姓 名 、 道 琼 斯 内 部 客 户 I D 、 家 庭 与 企 业 地 址 以 及 更 多 帐 户 详 细 信 息 ， 例 如 客 户 注 册 订 阅 时 享 受 的 促 销 优 惠 。 而 最 为 关 键 的 是 ， 文 件 当 中 还 包 含 有 客 户 信 用 卡 的 最 后 四 位 数 字 ， 以 及 用 于 在 线 登 录 其 帐 户 的 电 子 邮 箱 地 址 。 一 小 部 分 客 户 的 电 话 号 码 甚 至 也 被 纳 入 到 文 本 当 中 。 道 琼 斯 公 司 已 经 证 实 称 ， 此 次 数 据 曝 光 总 计 影 响 到 2 2 0 万 名 客 户 。 然 而 根 据 存 储 库 的 大 小 及 组 成 进 行 分 析 ， U p G u a r d 小 组 保 守 估 计 受 影 响 客 户 数 量 可 能 高 达 4 0 0 万 ， 其 中 可 能 存 在 一 部 分 重 复 订 阅 情 况 。 另 一 个 存 储 在 主 目 录 当 中 的 文 件 夹 名 为 “ r n c _ w a t c h l i s t “ 。 尽 管 道 琼 斯 公 司 此 前 曾 经 提 供 名 为 风 险 与 合 规 监 控 列 表 （ R i s k   a n d   C o m p l i a n c e W a t c h l i s t ） 产 品 ， 但 该 文 件 夹 的 标 题 实 际 上 指 的 可 能 是 道 琼 斯 的 反 入 侵 数 据 库 套 件 。 该 产 品 以 道 琼 斯 旗 下 的 “ 风 险 与 合 规 ” 品 牌 进 行 销 售 ， 且 号 称 为 用 户 提 供 “ 面 向 流 程 、 审 查 与 调 查 的 研 究 工 具 与 外 包 服 务 ， 帮 助 企 业 减 轻 与 反 洗 钱 、 反 贿 赂 、 腐 败 乃 至 经 济 制 裁 等 规 定 相 关 的 第 三 方 风 险 “ ， 从 而 “ 帮 助 企 业 更 快 评 估 第 三 方 风 险 并 建 立 起 信 心 ” 。
此 文 件 夹 当 中 包 含 2 1 个 用 于 具 体 解 释 该 数 据 集 内 各 项 字 段 名 称 的 模 式 文 件 ， 外 加 一 个 名 为 d j r c _ a c _ c s v _ 2 0 1 6 0 3 3 1 2 3 5 9 _ f 的 . c s v 文 件 。 此 . c s v 文 件 中 包 含 1 6 0 万 行 个 人 或 条 目 ， 同 时 亦 囊 括 有 对 应 的 别 名 、 组 织 、 业 务 以 及 主 题 背 景 及 个 人 历 史 信 息 。 风 险 与 合 规 数 据 集 中 反 复 出 现 的 几 类 字 段 此 份 列 表 还 包 括 大 量 分 布 于 全 球 各 地 的 金 融 行 业 从 业 人 员 位 置 信 息 ， 以 及 众 多 声 誉 不 良 的 政 治 党 派 ;   下 图 所 示 为 已 故 利 比 亚 领 导 人 卡 扎 菲 的 相 关 条 目 。
风 险 与 合 规 . c s v 文 件 当 中 关 于 卡 扎 菲 的 相 关 条 目 这 组 包 含 1 6 0 万 条 可 疑 人 士 及 实 体 的 数 据 与 道 琼 斯 公 司 对 其 R i s k R e p o r t s 以 及 R i s k C e n t e r 等 风 险 与 合 规 工 具 作 出 的 描 述 不 谋 而 合 ， 这 些 平 台 能 够 为 用 户 提 供 存 在 潜 在 问 题 的 人 士 及 组 织 的 相 关 信 息 ， 帮 助 其 避 免 与 其 产 生 往 来 。 重 大 意 义 此 次 云 数 据 泄 露 事 故 再 次 凸 显 出 数 字 化 风 险 领 域 中 的 几 大 关 键 性 难 题 ， 这 在 2 0 1 7 年 的 数 字 化 发 展 当 中 极 具 重 大 意 义 。 云 存 储 面 临 的 挑 战 云 存 储 面 临 的 挑 战 立 足 当 前 ， 企 业 在 配 置 当 中 允 许 对 云 存 储 信 息 进 行 公 开 或 者 半 公 开 访 问 已 经 成 为 一 种 非 常 常 见 的 作 法 ， 而 这 显 然 会 将 客 户 的 敏 感 数 据 暴 露 在 不 必 要 的 风 险 之 下 。 由 此 引 发 的 滥 用 威 胁 真 实 存 在 ， 而 随 着 网 络 恶 意 势 力 的 迅 速 发 展 ， 攻 击 者 完 全 能 够 利 用 这 些 流 出 至 网 络 上 的 用 户 信 息 为 自 身 牟 利 。 尽 管 U p G u a r d 小 组 尚 不 清 楚 在 相 关 存 储 库 关 闭 之 前 ， 是 否 已 经 有 恶 意 人 士 获 取 到 道 琼 斯 云 存 储 桶 当 中 的 各 项 数 据 ， 但 事 故 的 存 在 已 经 为 网 络 犯 罪 分 子 的 潜 在 恶 意 活 动 途 径 指 明 了 方 向 。 无 论 是 对 于 垃 圾 邮 件 发 送 方 抑 或 是 数 字 化 营 销 人 员 ， 此 类 包 含 客 户 姓 名 、 地 址 、 电 子 邮 箱 地 址 以 及 部 分 电 话 号 码 的 信 息 都 将 极 具 现 实 意 义 ， 甚 至 可 能 引 发 极 为 恶 劣 的 影 响 。 被 泄 露 的 数 据 常 规 利 用 方 式 ： 钓 鱼 攻 击 被 泄 露 的 数 据 常 规 利 用 方 式 ： 钓 鱼 攻 击 恶 意 软 件 将 自 身 伪 装 为 官 方 身 份 并 借 此 说 服 用 户 提 供 个 人 敏 感 信 息 的 网 络 钓 鱼 行 为 当 前 已 然 成 为 主 流 。 道 琼 斯 出 版 物 拥 有 4 0 0 万 订 阅 用 户 ， 相 关 信 息 的 流 出 必 然 导 致 恶 意 人 士 借 此 部 署 新 一 轮 网 络 钓 鱼 攻 击 。 《 华 尔 街 日 报 》 已 经 开 始 发 布 官 方 电
子 邮 件 ， 提 醒 客 户 其 订 阅 已 经 失 效 或 者 帐 户 已 经 被 盗 用 ， 而 恶 意 人 士 也 完 全 能 够 借 此 机 会 利 用 类 似 的 方 式 诱 导 这 些 高 价 值 目 标 提 供 其 信 用 卡 信 息 甚 至 是 登 录 凭 证 等 等 。 信 用 卡 信 息 的 重 要 性 信 用 卡 信 息 的 重 要 性 虽 然 此 次 信 息 泄 露 只 涉 及 客 户 信 用 卡 的 最 后 四 位 数 字 ， 但 这 同 样 有 可 能 造 成 重 大 损 失 。 2 0 1 5 年 出 现 的 一 项 安 全 漏 洞 就 允 许 恶 意 人 士 获 取 大 通 银 行 或 者 美 国 银 行 信 用 卡 的 最 后 四 位 数 字 ， 将 此 与 受 害 者 的 电 话 号 码 相 结 合 即 可 实 现 对 帐 户 的 控 制 。 企 业 的 安 全 意 识 影 响 事 件 响 应 企 业 的 安 全 意 识 影 响 事 件 响 应 而 最 令 人 担 忧 的 仍 然 是 道 琼 斯 公 司 领 导 层 的 回 应 。 虽 然 企 业 肯 定 不 希 望 向 客 户 通 告 这 样 的 事 故 ， 但 这 样 处 理 的 意 义 在 于 保 证 消 费 者 获 得 相 关 数 据 ， 进 而 迅 速 阻 止 恶 意 人 士 的 其 它 滥 用 行 为 。 而 道 琼 斯 讳 莫 如 深 的 处 理 态 度 则 只 会 让 情 况 适 得 其 反 。 正 如 英 国 保 险 公 司 T h e   A A 此 前 遭 遇 的 状 况 一 样 。 该 公 司 曾 于 今 年 4 月 否 认 其 某 台 服 务 器 可 供 公 开 访 问 ， 然 而 7 月 的 调 查 证 明 这 样 的 说 法 根 本 站 不 住 脚 ， 且 该 公 司 超 过 1 0 万 名 客 户 的 财 务 信 息 因 此 遭 到 泄 露 。 而 在 此 次 云 数 据 泄 露 事 件 当 中 ， 道 琼 斯 方 面 的 回 应 同 样 非 常 缓 慢 ， 这 亦 证 明 除 了 小 型 公 司 之 外 ， 世 界 知 名 的 、 甚 至 是 掌 控 着 上 层 金 融 世 界 统 治 权 的 巨 头 企 业 同 样 在 处 理 客 户 数 据 风 险 方 面 表 现 不 力 。 总 而 言 之 ， 网 络 风 险 问 题 可 谓 无 处 不 在 ， 其 后 果 可 能 影 响 到 世 界 范 围 内 从 锅 炉 房 到 会 议 室 的 各 类 场 景 。 面 对 这 样 的 挑 战 ， 企 业 必 须 重 新 控 制 自 身 I T 系 统 ， 以 确 保 有 能 力 快 速 发 现 各 类 易 于 预 防 的 错 误 。 否 则 ， 必 将 承 受 成 本 高 昂 的 数 字 资 产 泄 露 损 失 。
1 9 E 安 全 推 荐 文 章 安 全 推 荐 文 章 官 网 ： 官 网 ： w w w . e a s y a q . c o m 2 0 1 7 年 年 7 月 月   0 1 英 国 政 府 数 据 服 务 网 站 用 户 数 据 遭 意 外 泄 露 0 2 全 球 5 1 2 0 T B 数 据 泄 露 , H a d o o p 服 务 器 配 置 不 当 是 主 因 0 3 报 告 ： 1 0 % 的 数 据 泄 露 事 件 超 过 1 年 才 被 发 现 0 4 安 全 专 家 全 方 位 解 读 N S A 和 C I A 数 据 泄 露 事 件 0 5 数 据 泄 露 怕 丢 脸 ？ 英 国 大 部 分 企 业 被 黑 客 攻 击 后 不 向 公 众 披 露 0 6 数 据 泄 露 水 平 指 数 ： 2 0 1 6 年 共 外 泄 1 4 亿 条 数 据 0 7 涉 及 美 国 军 方 、 企 业 等 上 千 万 条 员 工 信 息 的 数 据 库 泄 露 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理