信息來源：Cnbeta

據(jù)知名網(wǎng)絡(luò)安全新聞網(wǎng)站KrebsOnSecurity報道，有人正在網(wǎng)絡(luò)犯罪論壇上出售在北美頗受歡迎的移動停車應(yīng)用ParkMobile的2100萬客戶的賬戶信息。被盜數(shù)據(jù)包括客戶的電子郵件地址、出生日期、電話號碼、車牌號、哈希密碼和郵寄地址。

KrebsOnSecurity首次從紐約市的威脅情報公司Gemini Advisory那里聽說了這一漏洞，該公司密切關(guān)注網(wǎng)絡(luò)犯罪論壇。Gemini在一個俄語犯罪論壇上分享了一個新的銷售線索，在附帶的被盜數(shù)據(jù)截圖中包含了一些用戶的ParkMobile賬戶信息、電子郵件地址和電話號碼，以及車輛的車牌號。

當(dāng)被問及銷售線索時，總部位于亞特蘭大的ParkMobile表示，該公司在3月26日發(fā)布了一則通知，內(nèi)容是 "發(fā)生了一起網(wǎng)絡(luò)安全事件，與我們使用的一款第三方軟件的漏洞有關(guān)"。

“作為回應(yīng)，我們立即在一家領(lǐng)先的網(wǎng)絡(luò)安全公司的協(xié)助下展開調(diào)查，以解決這一事件，”通知中寫道。“出于謹(jǐn)慎起見，我們也已經(jīng)通知了相關(guān)執(zhí)法部門。調(diào)查還在進(jìn)行中，我們目前能提供的細(xì)節(jié)有限?！?

聲明還指出：“我們的調(diào)查表明，我們加密的敏感數(shù)據(jù)或支付卡信息均未受影響。同時，自從了解到該事件以來，我們還采取了其他預(yù)防措施，包括消除第三方漏洞，維護(hù)我們的安全性以及繼續(xù)監(jiān)視我們的系統(tǒng)?！?

當(dāng)被要求澄清攻擊者確實獲取了什么信息時，ParkMobile證實其中包括基本的賬戶信息--車牌號，如果提供，還包括電子郵件地址或電話號碼等。

"在一小部分情況下，可能會有郵寄地址，"發(fā)言人Jeff Perkins說。

ParkMobile并不存儲用戶密碼，而是存儲了一種相當(dāng)強(qiáng)大的單向密碼哈希算法的輸出，這種算法被稱為bcrypt，它比MD5等常見的替代方案更耗費(fèi)資源，破解成本更高。從ParkMobile竊取并出售的數(shù)據(jù)庫包括每個用戶的bcrypt哈希值。

"你說的沒錯，bcrypt哈希值和‘加鹽’密碼都被獲得了，"當(dāng)被問及數(shù)據(jù)庫銷售線程中的截圖時，Perkins說。

"注意，我們的系統(tǒng)中并沒有保留加鹽值，"他說。"此外，被泄露的數(shù)據(jù)不包括停車歷史、位置歷史或任何其他敏感信息。我們不會向用戶收集社會安全號碼或駕駛執(zhí)照號碼。"

ParkMobile表示，它正在最后確定其支持網(wǎng)站的更新，以確認(rèn)其調(diào)查的結(jié)論。但不知道其有多少用戶甚至知道這次安全事件。3月26日的安全通知似乎沒有鏈接到ParkMobile網(wǎng)站的其他部分，而且該公司最近的新聞稿列表中也沒有它。

同樣令人好奇的是，ParkMobile并沒有要求或強(qiáng)迫其用戶更改密碼作為預(yù)防措施。安全研究人員使用ParkMobile應(yīng)用來重置密碼，但應(yīng)用中沒有任何信息提示這是一件及時的事情。

這次數(shù)據(jù)泄露事件對ParkMobile來說是在一個關(guān)鍵的時刻發(fā)生的。3月9日，歐洲停車集團(tuán)EasyPark宣布計劃收購該公司，該公司在北美450多個城市運(yùn)營。