搜索

[4848] 2018-02-19_NAS配置不当保险公司大量敏感数据泄露

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-16
2018-02-19_NAS配置不当保险公司大量敏感数据泄露 N A S 配 置 不 当   保 险 公 司 大 量 敏 感 数 据 泄 露 原 创   E 安 全   E 安 全   2 0 1 8 - 0 2 - 1 9 更 多 全 球 网 络 安 全 资 讯 尽 在 E 安 全 官 网 w w w . e a s y a q . c o m E 安 全 2 月 1 9 日 讯     客 户 隐 私 的 丢 失 让 我 们 想 起 了 信 用 修 复 和 营 销 行 业 以 前 出 现 过 的 信 息 泄 露 情 况 ， U p G u a r d   网 络 风 险 团 队 现 在 要 谈 一 谈 美 国 马 里 兰 联 合 保 险 协 会 （ M D J I A ） 的 泄 露 案 例 ， 这 是 马 里 兰 州 一 个 提 供 财 产 保 险 业 务 的 私 营 项 目 ， 因 存 储 设 备 的 错 误 配 置 ， 将 数 千 客 户 的 信 息 泄 露 到 网 上 。 此 次 数 据 曝 光 再 次 告 诫 我 们 ， 高 度 敏 感 的 个 人 身 份 信 息 可 能 泄 露 到 网 络 ， 在 这 个 案 例 中 ， 数 据 就 是 通 过 一 个 联 网 设 备 的 开 放 端 口 泄 露 。 与 被 泄 数 据 存 储 一 起 被 曝 光 的 是 J I A 客 户 文 件 和 声 明 的 备 份 ， 包 括 客 户 姓 名 ， 地 址 ， 电 话 号 码 ， 生 日 以 及 社 保 号 ， 支 票 扫 描 件 ， 银 行 账 号 和 保 险 单 号 。 除 了 这 些 重 要 的 客 户 信 息 ， 这 次 泄 露 还 曝 光 了 一 个 内 部 访 问 凭 证 数 列 ， 它 原 本 用 于 管 理 和 控 制 M D J I A 协 会 的 运 营 ， 包 括 远 程 桌 面 ， 邮 件 ， 第 三 方 用 户 名 和 密 码 。 由 于 误 配 置 的 问 题 ， 企 业 势 必 要 投 入 足 够 的 资 源 保 护 数 据 。 此 次 外 部 平 台 访 问 凭 证 的 曝 光 再 次 突 显 了 第 三 方 厂 商 与 业 务 伙 伴 共 享 信 息 的 潜 在 威 胁 。 事 件 的 发 现 事 件 的 发 现 2 0 1 8 年 1 月 1 9 日 ， U p G u a r d 网 络 风 险 研 究 主 任 C h r i s   V i c k e r y 留 意 到 了 M D J I A ， 因 为 他 发 现 了 属 于 该 保 险 协 会 的 一 个 网 络 附 属 存 储 （ N A S ） 设 备 。 该 设 备 通 过 一 个 开 放 端 口 与 互 联 网 连 接 ， 而 它 内 含 与 协 会 I T 运 营 的 重 要 敏 感 数 据 ， 数 据 分 为 两 部 分 — — B B a c k u p （ 包 含 大 量 保 险 客 户 和 索 赔 人 数 据 的 环 境 ） 和 S h a r e （ 包 含 凭 证 和 多 个 内 部 管 理 员 数 据 的 一 个 文 件 夹 ） 。
B B a c k u p 和 S h a r e 通 过 曝 光 的 数 据 可 深 入 了 解 协 会 的 业 务 ， 该 协 会 是 隶 属 于 马 里 兰 州 ， 它 与 其 他 州 的 类 似 组 织 一 样 ， 其 成 立 都 源 自 联 邦 财 产 险 规 定 F A I R （ 公 平 参 保 要 求 ） 计 划 的 通 过 。 F A I R 财 产 险 政 策 是 什 么 ？ 而 像 M D J I A 这 样 的 组 织 如 何 满 足 其 要 求 呢 ？ F A I R 政 策 的 目 的 是 以 投 保 人 索 偿 记 录 保 护 财 产 所 有 者 ， 或 是 那 些 住 在 易 遭 受 自 然 灾 害 区 域 的 人 。 许 多 这 类 财 产 所 有 者 由 于 不 符 合 某 条 政 策 要 求 ， 投 保 风 险 过 大 ， 而 被 保 险 公 司 认 为 是 不 符 合 条 件 的 申 请 人 。 因 而 ， F A I R 政 策 为 那 些 易 被 保 险 公 司 拒 绝 的 人 提 供 了 一 个 可 以 接 受 的 基 本 保 险 类 别 。 虽 然 像 M D J I A 这 样 的 覆 盖 全 州 的 保 险 协 会 并 不 是 公 共 机 构 ， 但 是 州 政 府 规 定 了 私 募 保 险 基 金 F A I R “ 市 场 共 享 计 划 ” 的 承 保 范 围 ， 且 其 收 入 须 回 投 到 项 目 中 。 协 会 由 所 有 市 场 上 的 保 险 公 司 自 愿 组 成 ， 这 些 公 司 都 有 执 照 ， 而 且 都 参 与 撰 写 了 马 里 兰 州 的 基 本 财 产 险 ， 业 主 保 险 和 多 重 风 险 财 产 险 条 款 。 在 马 里 兰 州 ， 这 意 味 着 该 州 所 有 的 保 险 公 司 都 要 向 J I A 协 会 捐 资 ， 而 后 者 反 过 来 帮 助 那 些 容 易 被 拒 保 的 财 产 所 有 者 。 遗 憾 的 是 ， 名 为 L i v e 的 备 份 子 文 件 夹 曝 光 后 ， 数 以 千 计 的 此 类 易 被 拒 保 的 客 户 也 从 这 个 未 受 保 护 的 存 储 设 备 曝 光 了 。
L i v e 子 文 件 夹 内 含 文 件 B B a c k u p 内 包 含 大 量 文 件 ， 都 是 面 向 客 户 的 J I A 协 会 I T 运 营 文 件 ， 从 投 保 申 请 到 索 偿 合 同 。 这 些 数 据 包 含 了 大 量 个 人 的 身 份 识 别 信 息 。 一 个 6 0 G B 的 文 件 夹 “ a p p g e n ” 中 就 包 含 了 是 个 子 文 件 夹 ， 其 中 有 2 0 1 2 年 到 现 在 保 存 的 1 7 5 0 0 0 多 个 文 件 。 一 个 类 似 的 叫 “ D U ” 的 子 文 件 夹 ， 包 含 1 4 9 0 0 0 个 文 件 ， 都 是 申 请 人 姓 名 ， 地 址 和 电 话 号 码 之 类 的 信 息 。
M D J I A 内 部 客 户 文 件 财 产 检 查 报 告 和 索 赔 提 交 材 料 ， 如 财 产 受 损 报 告 ， 则 提 供 了 更 多 客 户 的 细 节 信 息 。 然 而 ， 最 麻 烦 的 是 “ a p p g e n ” 文 件 夹 中 的 社 保 号 ， 以 及 保 险 单 号 信 息 ， 还 有 显 示 完 整 银 行 卡 号 的 支 票 影 像 。
包 含 高 度 敏 感 信 息 的 保 险 文 件 在 “ S h a r e ” 文 件 夹 中 包 含 了 M D J I A 协 会 I T 资 产 的 敏 感 信 息 。 内 部 密 码 清 单 ， 包 括 以 纯 文 本 形 式 保 存 的 J I A 电 子 邮 箱 地 址 的 密 码 ， 还 有 T e a m V i e w e r 远 程 桌 面 访 问 凭 证 的 截 屏 。
M D J I A 的 I S O   C l a i m S e a r c h 访 问 凭 证 M D J I A   I S O   C l a i m S e a r c h 访 问 凭 证 的 曝 光 则 更 具 破 坏 性 ， 这 是 V e r i s k   A n a l y t i c s 提 供 的 一 个 第 三 方 保 险 数 据 库 ， 其 中 包 含 供 业 内 专 家 参 考 的 成 百 上 千 万 份 的 个 人 保 险 索 赔 报 告 — — 一 旦 有 人 恶 意 访 问 ， 则 是 一 份 巨 大 的 身 份 识 别 信 息 宝 藏 。 重 要 影 响 重 要 影 响 数 千 参 保 人 高 敏 感 信 息 以 及 M D J I A 协 会 I T 运 营 访 问 凭 证 的 曝 光 是 一 次 非 常 严 重 的 身 份 识 别 信 息 泄 露 事 件 ， 而 且 可 能 对 曝 光 用 户 造 成 严 重 影 响 。 此 次 泄 露 再 次 表 明 ， 各 类 机 构 必 须 投 入 时 间 和 精 力 去 消 除 网 络 威 胁 ， 否 则 破 坏 性 的 数 据 泄 露 会 严 重 影 响 个 人 和 企 业 安 全 。 姓 名 ， 地 址 ， 电 话 号 码 ， 特 别 是 社 保 号 的 曝 光 ， 让 我 们 几 乎 可 以 预 见 数 千 马 里 兰 州 居 民 的 身 份 可 能 被 盗 用 的 现 实 。 这 些 信 息 ， 再 加 上 完 整 的 银 行 卡 号 和 保 单 号 ， 就 为 账 户 诈 骗 ， 金 融 攻 击 甚 至 是 保 险 诈 骗 提 供 了 便 利 。 从 受 影 响 客 户 的 角 度 看 ， 这 些 威 胁 都 极 具 破 坏 性 。 马 里 兰 州 最 新 的 泄 露 通 知 法 律 规 定 了 数 据 泄 露 方 须 通 知 受 影 响 的 客 户 ， 并 提 供 内 部 调 查 。 然 而 ， U p G u a r d   网 络 风 险 团 队 并 不 能 确 定 是 否 有 人 恶 意 访 问 这 些 信 息 或 者 此 法 律 是 否 适 用 于 这 个 案 例 。 可 以 确 定 的 一 点 是 ， 企 业 迅 速 通 知 受 影 响 客 户 ， 且 保 持 过 程 透 明 通 常 是 极 为 重 要 的 。 泄 露 的 内 部 凭 据 如 果 落 入 犯 罪 分 子 之 手 ， 就 可 能 被 用 来 破 坏 该 协 会 的 其 他 系 统 ， 或 许 会 曝 光 更 多 重 要 数 据 。 若 他 们 进 入 M D J I A 的 电 子 邮 箱 账 户 ， 则 窃 取 更 多 申 请 人 和 参 保 者 的 更 多 敏 感 信 息 。 而 泄 露 的 C l a i m S e a r c h 数 据 库 的 详 细 登 录 数 据 以 及 数
百 万 保 险 记 录 可 能 被 滥 用 ， 这 也 是 数 据 通 过 第 三 方 泄 露 的 绝 佳 案 例 ， 我 们 应 以 此 为 鉴 。 注 ： 本 文 由 E 安 全 编 译 报 道 , 转 载 请 注 明 原 文 地 址 h t t p s : / / w w w . e a s y a q . c o m / n e w s / 1 1 7 7 3 6 5 1 9 6 . s h t m l 推 荐 阅 读 ： 美 国 N C F   1 1 1 G   数 据 被 泄 ！   A W S 又 捅 娄 子 ！ 俄 罗 斯 1 4 0 0 万 大 学 毕 业 生 敏 感 信 息 泄 露 澳 洲 信 用 卡 系 统 8 5 0 0 名 员 工 数 据 泄 露 重 磅 ！ 美 国 D H S   2 4 . 6 万 员 工 信 息 泄 露 A P P L E B Y 数 据 泄 露 事 故 ： 全 球 富 豪 们 的 噩 梦 ！ A a d h a a r 数 据 泄 露 ： 印 度 2 1 0 个 政 府 网 站 公 开 披 露 公 民 信 息 全 球 最 大 管 理 咨 询 公 司 埃 森 哲 大 量 敏 感 数 据 泄 露 ▼ 点 击 “ 阅 读 原 文 ”   查 看 更 多 精 彩 内 容 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理