0
聽說過 MBM 公司的名頭嗎？恐怕了解的人不多，不過 Limogés Jewelry 這一珠寶電商品牌可能你會有所耳聞，而它就是 MBM 公司旗下的一個品牌?？吹竭@里你可能會想，我是不是走錯房間了？當然不是，今天雷鋒網要講的這起信息泄露事件就與該珠寶電商品牌有關。
MBM 公司上了頭條可不是因為新品大賣，而是被德國安全公司 Kromtech Security 的研究人員抓住了小辮子。研究人員在不安全的亞馬遜 S3 存儲桶中發(fā)現了該公司的 MSSQL 數據庫備份文件。Kromtech 的安全研究團隊相信，在處理客戶數據上，MBM 公司可一點也不上心。
最初，研究者懷疑這些數據歸沃爾瑪所有，因為這個存儲桶被命名為“walmartsql”，不過后來他們通過分析后發(fā)現，這些數據的主人其實是 MBM 公司。
Kromtech Security 公司通訊負責人 Bob Diachenko 透露稱，在對泄露文檔作了進一步評估后他們發(fā)現，這里容納了超過 130 萬人（準確來說是 1314193 人）的私人敏感數據。
這些數據包含個人住址、email 地址、IP 地址和郵政編碼，許多客戶的密碼甚至直接用明文顯示，毫無安全性可言。不過，更惡劣的還在下面，這份文檔還包含了內部郵件列表、優(yōu)惠碼和項目訂單。在 Bob Diachenko 看來，這是 MBM 公司的嚴重失職。
遭曝光數據的截屏
“密碼居然直接用明文保存，這也太大意了。鑒于許多用戶在不同平臺上都使用相同密碼，其后果會相當嚴重?！盌iachenko 在一份聲明中寫道。
存在問題的備份文檔名為“MBMWEB_backup_2018_01_13_003008_2864410.bak”，研究人員已經確認，它生成與今年 1 月 13 日。數據庫包含了該公司美國和加拿大的客戶信息，文檔里還有更新信息，意味著這是新鮮出爐的數據。雖然該數據庫存儲的大多數是 2018 年初的數據，但研究人員還發(fā)現了 2000 年時的用戶記錄。專家認為，這可能是 MBM 公司的主數據庫。
Diachenko 強調了此次事件的嚴重程度，稱 MBM 需要嚴肅對待。總結現有消息我們也可得出一個結論：MBM 公司平時的安全防御工作太失敗了。舉例來說，它們居然給了存儲桶一個非常容易猜到的名字，S3 域名也太過平常，即使普通用戶也能用網上的掃描工具對其進行破解。
此外，密碼以明文形式出現也讓人分開，這相當于直接扒了用戶的底褲。
眼下，我們尚不清楚該數據庫是否已被惡意第三方光顧，畢竟壞人的勒索信還沒露面。不過，我們也不能肯定的說這個大漏洞只有 Kromtech Security 公司的人發(fā)現。
此前，不安全的亞馬遜 S3 存儲桶就讓許多主流公司中招，雖然對存儲桶做個正確的安全認證并不困難。除了 MBM，包括聯邦快遞、Alteryx 和 RNC 在內的公司都因為在安全上疏忽大意吃過虧。
安全專家支招稱，在使用該技術前，各家公司得先讓自己熟悉一些安全基礎技能，直接把敏感信息存入一個向公眾開放的存儲桶可不是什么高明的決定，沒有對密碼進行加密更是不可饒恕。
Kromtech Security 的研究人員還因為此事提醒了沃爾瑪，零售巨頭立即對其進行了修復。不過截至發(fā)文前，MBM 依舊沒有做出任何反應。雷鋒網將持續(xù)關注此事。
雷鋒網AVI hackread
雷峰網原創(chuàng)文章，未經授權禁止轉載。詳情見轉載須知。
