Hơn 200 triệu hồ sơ chứa nhiều thông tin liên quan đến tài sản của cư dân Hoa Kỳ đã bị lộ trên cơ sở dữ liệu có thể truy cập trên web mà không yêu cầu bất kỳ mật khẩu hoặc xác thực nào.
Dữ liệu được hiển thị – kết hợp các chi tiết cá nhân và nhân khẩu học – bao gồm tên, địa chỉ, địa chỉ email, tuổi, giới tính, dân tộc, việc làm, xếp hạng tín dụng, ưu đãi đầu tư, thu nhập, giá trị ròng và thông tin tài sản, như:
- Giá trị thị trường
- Loại tài sản
- Số tiền thế chấp, tỷ lệ, loại và người cho vay
- Số tiền tái cấp vốn, tỷ lệ, loại và người cho vay
- Chủ sở hữu trước
- Năm xây dựng
- Số giường và phòng tắm
- Thông tin đánh giá thuế
Theo công ty bảo mật So sánh, cơ sở dữ liệu, được lưu trữ trên Google Cloud, được cho là lần đầu tiên được công cụ tìm kiếm BinaryEdge lập chỉ mục vào ngày 26 tháng 1 và được phát hiện một ngày sau đó bởi nhà nghiên cứu an ninh mạng Bob Diachenko.
Nhưng sau khi không xác định được chủ sở hữu cơ sở dữ liệu, máy chủ cuối cùng đã bị ngoại tuyến hơn một tháng sau ngày hôm qua.
“Chúng tôi đã cố gắng liên hệ với nhóm bảo mật đám mây của Googles (IP với cơ sở dữ liệu được lưu trữ trên đám mây của họ) để họ gỡ xuống IP nhưng không bao giờ có phản hồi”, nhóm nghiên cứu nói với The Hacker News. “Không có cách nào khác để xác định chủ sở hữu là có thể vì không có bản ghi DNS ngược nào do tính chất dựa trên đám mây của IP.”
Tổng cộng, cơ sở dữ liệu bao gồm 201.162.598 hồ sơ, với mỗi mục tương ứng với một cá nhân duy nhất.
So sánh lưu ý rằng trong thời gian nó có quyền truy cập vào cơ sở dữ liệu, “nó đã được cập nhật với dữ liệu mới, cho thấy thông tin chứa trong thời gian gần đây.”
Hơn nữa, rò rỉ đặt ra câu hỏi về danh tính của dịch vụ sẽ cần lưu trữ dữ liệu nhân khẩu học và nhận dạng cá nhân chi tiết như vậy.
Cảnh báo lừa đảo
Cho rằng dữ liệu không được bảo mật đầy đủ, sẽ không rõ ràng ngay lập tức nếu các bên trái phép khác truy cập cơ sở dữ liệu này và tải xuống nội dung của nó. Hậu quả của việc tiếp xúc như vậy là tăng khả năng các cuộc tấn công lừa đảo nhắm mục tiêu.
“Thông tin cá nhân, nhân khẩu học và thông tin tài sản chi tiết có trong bộ dữ liệu này là một mỏ vàng dành cho những kẻ gửi thư rác, kẻ lừa đảo và tội phạm mạng chạy các chiến dịch lừa đảo,” so sánh. “Dữ liệu cho phép bọn tội phạm không chỉ nhắm vào những người cụ thể mà còn tạo ra một thông điệp thuyết phục hơn.”
Cụ thể, những kẻ tấn công có thể nhắm mục tiêu các cá nhân có email lừa đảo để cung cấp tất cả các loại phần mềm độc hại có thể tải xuống các chương trình độc hại và đánh cắp thông tin nhạy cảm.
Do đó, điều quan trọng là người dùng phải bật xác thực hai yếu tố để thêm lớp bảo vệ tài khoản thứ hai.
Sự cố không phải là lần duy nhất trường hợp máy chủ bị rò rỉ đã vẽ tiêu đề. Trong những tháng gần đây, Ê-díp-tô và tiếng Nga công dân, và Nhân viên chính phủ Hoa Kỳ đã có thông tin cá nhân của họ không được bảo vệ trên các máy chủ của Elaticsearch, nhấn mạnh rằng vẫn còn một chặng đường dài khi nói đến bảo mật đám mây.
