某招聘網(wǎng)站遭數(shù)據(jù)泄露，數(shù)百萬條個人信息被曝光
ice 國際網(wǎng)絡(luò)安全咨詢公司HackenProof的安全專家在2018年12月21日發(fā)現(xiàn)了另一個沒有得到很好保護的Elasticsearch集群，其中包含數(shù)百萬非常敏感的個人信息記錄。
從索引的名稱來看，它的所有者毫無疑問就是MisterTemp。這是一家法國臨時工招聘網(wǎng)站，聲稱任何人都可以通過該網(wǎng)站快速申請一份臨時工作，并能夠提供來自法國全國范圍內(nèi)不同行業(yè)的臨時工作機會。安全專家在使用“MisterTemp”相關(guān)的名稱進行快速搜索后發(fā)現(xiàn)，至少有2個屬于該網(wǎng)站的IP暴露在外——未設(shè)密碼的Elasticsearch集群允許任何人進行查看。其中，名為“mistertemp-2.14.0”的索引所包含的記錄總數(shù)約為290萬（2,898,153）條。每一條記錄都包含了相當(dāng)詳細(xì)和敏感的申請人個人信息，如姓名、電子郵箱地址、住址、出生日期、國籍、手機號碼、教育水平、技能、工作經(jīng)驗和可供下載簡歷和身份證件掃描件的外部S3存儲鏈接。此外，其中一些記錄還包含申請人的社會保障卡或護照號碼。
不過，HackenProof的安全專家表示，記錄總數(shù)并不能代表受影響的人數(shù)。因為，其中可能存在記錄重復(fù)的情況。HackenProof的安全專家也表示，他們目前并沒有對每一條記錄進行詳細(xì)分析。
值得注意的是，暴露的Elasticsearch集群還包含一個名為“readme”的文件，而該文件通常是由惡意攻擊者留下的。此類惡意攻擊者經(jīng)常會通過掃描互聯(lián)網(wǎng)來尋找存儲有敏感數(shù)據(jù)且沒有受到很好保護的數(shù)據(jù)庫，進而轉(zhuǎn)移并清空數(shù)據(jù)，以此來對數(shù)據(jù)庫所有者進行贖金勒索。
安全專家最后還表示，他們在發(fā)現(xiàn)這一問題的當(dāng)天就立即向MisterTemp網(wǎng)站提供的所有電子郵箱發(fā)送了私人安全通知提醒，但他們收到的回復(fù)都是假期自動回復(fù)。一直到2019年1月9日，他們才成功MisterTemp的高層取得了聯(lián)系。在同一天，暴露的數(shù)據(jù)庫脫機，目前已經(jīng)不再能夠被公眾訪問。
