1550447111 个敏感文件泄漏！因「FTP、SMB、rsync和S3存储桶」配置不当

网上惊现15亿个敏感文件！

安全研究人员将矛头指向了配置不当的FTP、SMB、rsync和S3存储桶。

 

安全研究人员近日发现了网上泄露的15亿个企业和消费者文件，就在欧洲《通用数据保护条例》（GDPR）生效前一个月的节骨眼上居然发生了这么大的安全事件。

在2018年短短的头三个月，威胁情报公司DigitalShadows在网上下列众多地方检测到了总共1550447111个公众唾手可得的文件：敞开的亚马逊简单存储服务（S3）存储桶、rsync、服务器消息块（SMB）、文件传输协议（FTP）服务器、配置不当的网站以及未加保护的网络附加存储（NAS）驱动器。

这些文件含有形形色色的数据，包括工资单数据、纳税申报表、医疗记录、信用卡和知识产权等。仅仅来自英国的就有64176425个文件，数量委实惊人。

虽然几乎全球所有国家的企业组织泄露了数据，但美国是受这个问题影响最严重的国家，共有239607590个文件泄露，占总数的16%。

然而如果作为一个整体来统计，欧盟国家泄露的数据最多，有537720919个文件赫然躺在网上，占总数的37%。

这堆“数据宝藏”相当于泄露的数据超过12PB（12000TB）――其规模比XXX文件泄密事件大4000倍，而那次事件只泄露了2.6TB的数据。

最常见的泄露数据是工资单和纳税申报单文件，分别有700000个文件和60000个文件。一旦被滥用，这些敏感信息就有可能用来实施欺诈、窃取身份或从事金融犯罪。

然而，泄露的数据并不仅限于金融信息：研究人员发现了意大利单单一个敞开的SMB端口就泄露了200多万个后缀名为.dcm的文件，dcm的全称是医学数字图像及通信标准。这些文件可能含有健康信息，广大患者绝对不希望这些高度隐私的个人数据泄露出去。

然而，消费者同样面临风险，泄露了14687份联系人信息和4548份患者名单。数量庞大的销售点（POS）终端数据（交易、时间、地点，甚至一些信用卡资料）都是公众唾手可得的。

虽然配置不当的亚马逊S3存储桶最近屡屡见诸报章，不过在这项研究报告中，云系统泄露只占泄密数据总量的7%。相反，占泄密数据总量最多的还是一些历史较悠久，但仍被广泛使用的技术，比如SMB（33%）、rsync（28%）和FTP（26%）。

DigitalShadows还发现了大量的知识产权及其他企业数据泄露出去，报告声称因此“很容易实施企业间谍活动。”企业的重要信息同样泄露了。比如说，研究人员在一份被标为“严格保密”的文件中发现了可再生能源的专利摘要。另外还发现了一份含有专有源代码的文件，该专有源代码是作为版权申请的一部分而提交的。除了版权申请方面的详细信息外，该文件还包含概述了一个提供软件电子医疗记录的网站的设计和工作流程的代码。

第三方和承包商被认为是最常泄露敏感数据的来源之一。泄露的信息包括安全评估和渗透测试。此外，Digital Shadows发现配置不当的消费级备份设备面向互联网，无意中公开了私密信息。

为了确保信息不会直接落到间谍及企图从事网络间谍活动的其他不法分子的手里，DigitalShadows没有公布已发现的信息的细节。