信息來源：安全內(nèi)參
前情回顧·數(shù)據(jù)泄露
安全內(nèi)參8月4日消息，包括印度養(yǎng)老基金持有人全名、銀行賬號、代名人等信息在內(nèi)的海量數(shù)據(jù)在網(wǎng)上曝光。
烏克蘭安全研究員Bob Diachenko發(fā)現(xiàn)，有兩個獨(dú)立IP地址存儲著超過2.88億條記錄，其中一個IP下約有2.8億條記錄，另一IP下約有840萬條記錄。
Diachenko表示，兩個IP均未經(jīng)密碼保護(hù)，數(shù)據(jù)被公開暴露在互聯(lián)網(wǎng)上。兩個IP地址歸屬印度，屬于微軟Azure托管服務(wù)。
這些記錄屬于“UAN”Elasticsearch集群。UAN是指印度國有雇員公積金組織（EPFO）分配給養(yǎng)老基金持有者們的通用賬號。
Diachenko透露，“據(jù)我了解，數(shù)據(jù)庫中的信息可被用來拼湊出這些印度公民的完整資料，致使他們成為網(wǎng)絡(luò)釣魚或欺詐攻擊的目標(biāo)?！?
每條記錄中都包含他們的個人身份信息，包括婚姻狀況、性別和出生日期。以及與養(yǎng)老基金賬戶有關(guān)的細(xì)節(jié)信息，包括UAN、銀行賬號和就業(yè)情況。
除了泄露養(yǎng)老基金持有者們的個人身份信息（PII）之外，這些記錄中還暴露了相應(yīng)代名人的信息，例如代名人全名、與賬戶持有人的關(guān)系。
Diachenko在本周早些時(shí)候發(fā)現(xiàn)這些泄露敏感數(shù)據(jù)的IP地址。他昨天在Twitter上發(fā)布一張截圖，展示了暴露個人信息的數(shù)據(jù)字段，并點(diǎn)名印度計(jì)算機(jī)應(yīng)急響應(yīng)小組（CERT-In）。這條推文發(fā)布后不到一天，兩個問題IP均已無法訪問。
Diachenko表示，目前還不清楚應(yīng)該由誰對網(wǎng)上暴露的海量數(shù)據(jù)負(fù)責(zé)，也不清楚除他之外是否還有其他人發(fā)現(xiàn)了這些數(shù)據(jù)。
外媒TechCrunch已經(jīng)向印度國有雇員公積金組織、計(jì)算機(jī)應(yīng)急響應(yīng)小組以及該國IT部門發(fā)出置評請求，但未得到回應(yīng)。
據(jù)安全內(nèi)參了解，印度中央公積金專員在2018年就曾通知國家IT部門，稱黑客可以從公積金組織的Aadhaar門戶網(wǎng)站竊取數(shù)據(jù)。該事件導(dǎo)致約2700萬養(yǎng)老基金持有者身陷風(fēng)險(xiǎn)。事后，養(yǎng)老基金機(jī)構(gòu)表示并未發(fā)生數(shù)據(jù)泄露，但沒有給出任何相應(yīng)證據(jù)。
參考資料：techcrunch.com
