安基網 首頁 資訊 安全報 查看內容

成人網站泄露 108 億數據,內含 50 萬中國用戶

2020-5-10 15:36| 投稿: xiaotiger |來自: 互聯網


免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!

摘要: 近日,據外媒 BleepingComputer 報道,因 Elasticsearch 集群錯誤配置,成人視頻網站 CAM4 發生重大數據泄露事件。泄露 108 億條記錄的成人視頻網站據悉,本次泄露的數據量超 7TB,存儲著超過 108 億條記錄。由于一 ...

近日,據外媒 BleepingComputer 報道,因 Elasticsearch 集群錯誤配置,成人視頻網站 CAM4 發生重大數據泄露事件。

泄露 108 億條記錄的成人視頻網站

據悉,本次泄露的數據量超 7TB,存儲著超過 108 億條記錄。由于一個錯誤配置的 Elasticsearch 集群導致 CAM4 的生產數據庫在網上公開,因此數據被泄露。

由安全研究者 Anurag Sen 領導的一個 Safety Detectives 團隊發現了 CAM4 不安全的數據庫。該團隊在報告此事后,CAM4 的母公司很快下線數據庫。

研究人員發現,在 108 億條記錄中,有 1100 萬份包含電子郵件地址,另有 26392701 份包含 CAM4 用戶和網站系統的密碼散列。

據了解,CAM4 主要面向歐美受眾,它是一個廣受歡迎的成人直播平臺,不少素人會通過直播攝像頭在該平臺上直播成人內容。CAM4 每年有近 20 億訪客,其成員每周在上面花費的時間超過 100 萬個小時,平臺每天播放超過 75999 個私人節目。

根據研究者分析,本次泄露的數據包含大量個人身份信息(PII),涵蓋姓名、性取向、電子郵件、IP 地址、支付記錄和聊天記錄等。具體數據類型如下:

  • 姓名
  • 電子郵件地址
  • 出生地
  • 注冊日期
  • 性別偏好和性取向
  • 設備信息
  • 其他用戶細節,比如口語
  • 用戶名
  • 支付記錄,包括信用卡類型、支付金額等
  • 用戶對話
  • 郵件往來記錄
  • 用戶和 CAM4 的聊天記錄
  • 令牌信息
  • 密碼 hashes
  • IP 地址
  • Fraud detection logs
  • Spam detection logs

全球多國用戶受影響,包括超 50 萬的中國用戶

基于 CAM4 不安全的數據庫,SafetyDetectives 團隊分析了每個國家受影響的用戶數。其中,本次泄露事件涉及近 660 萬美國用戶、530 萬巴西用戶。值得注意的是,泄露事件還影響到超過 53 萬的中國用戶。

此外,本次泄露事件還影響到 480 萬意大利用戶、410 萬法國用戶、300 萬德國用戶、245 萬西班牙用戶和 160 萬英國用戶。

研究者稱,“安全團隊還發現了 26392701 條帶有散列密碼的條目,其中一部分屬于 CAM4.com 用戶,一部分來自網站系統資源!

針對此次數據泄露,CAM4 公司在一份聲明中表示,“毫無疑問,包括姓名、地址、電子郵件、IP 地址或財務數據在內的任何個人身份信息,都沒有被 Safety Detectives 團隊和 CAM4 調查人員之外的人所訪問!

不過,如此包含大量且詳細信息的數據泄露事件,危害極大。因為攻擊者可能以 CAM4 用戶和成員為目標,利用泄露的個人身份數據(PII),實施多種攻擊,包括魚叉式釣魚攻擊、勒索活動、身份竊取和多種類型的欺詐活動等。

Elasticsearch 數據泄露,你該怎么辦?

除 CAM4 外,法國《費加羅報》同樣因 Elasticsearch 配置錯誤而發生數據泄露,泄露 74 億條記錄,超 8TB 數據在網上公開。

上述兩起重大數據泄露事件均與 Elasticsearch 有關。此前,InfoQ 已經報道過多起 Elasticsearch 數據泄露,比如 Elasticsearch 在 2019 年 1 月發生 6 起數據泄露事件:

  1. 百安居發生數據泄露,70000 起店內盜竊案的信息流出;
  2. 在線賭場泄漏 1.08 億投注信息;
  3. 美國多家大銀行貸款文件遭泄露,文件數量達 2400 萬;
  4. 青年學生組織 AIESEC 的 400 萬條志愿者信息泄露;
  5. VOIPO 超百萬的電話和短信數據泄露;
  6. IT 安全和云數據管理公司 Rubrik 發生大規模數據泄露。

對于 Elasticsearch 有關的數據泄露事件,Elasticsearch 中文社區深圳分會楊振濤曾表示:

不少開發人員及其團隊在認知上更多地把 Elasticsearch 看成是與 MySQL 同等的存儲系統,所以在部署以后并沒有太多地關心其訪問控制策略和數據安全。而且 Elastisearch 開箱即用的特點也讓開發和運維人員放松了對安全的重視。

如何避免 Elasticsearch 在使用時發生數據泄露,楊振濤也給出幾個建議:

  • 服務器必須要有防火墻,不能隨意對外開放端口;
  • Elasticsearch 集群的端口包括 TCP 和 HTTP,都不能暴露在公網;
  • Elasticsearch 集群禁用批量刪除索引功能;
  • Elasticsearch 中保存的數據要做基本的脫敏處理;
  • 加強監控和告警,能夠在安全事件發生的第一時間感知并啟動緊急預案,將損失降到最低。


小編推薦:欲學習電腦技術、系統維護、網絡管理、編程開發和安全攻防等高端IT技術,請 點擊這里 注冊賬號,公開課頻道價值萬元IT培訓教程免費學,讓您少走彎路、事半功倍,好工作升職加薪!

本文出自:https://www.toutiao.com/i6824410831095071236/

免責聲明:本站系公益性非盈利IT技術普及網,本文由投稿者轉載自互聯網的公開文章,文末均已注明出處,其內容和圖片版權歸原網站或作者所有,文中所述不代表本站觀點,若有無意侵權或轉載不當之處請從網站右下角聯系我們處理,謝謝合作!


鮮花

握手

雷人

路過

雞蛋

相關閱讀

最新評論

 最新
返回頂部
洗衣店赚钱联系澳洁 中国重工股票分析报告 最新福建体彩22选5 湖南快乐十分中奖规则 江西时时彩 历史数据 天天彩经网辽宁11选5 股票技术交流微信群 河南快3开奖结果100期 股票怎么玩杠杆 广西快3玩法遗漏值 组选包胆如何倍投