写点什么

国内两公司近 500 万敏感信息泄露,含几十万老人及其家属数据

2020 年 7 月 10 日

国内两公司近500万敏感信息泄露,含几十万老人及其家属数据


近日,Cybernews 团队发现了两个不安全的数据库,总计大概有 500 万条记录,里面包含大量敏感信息,比如姓名、手机号和住址等。


据悉,这两个数据库分别属于中国两家公司,其中,第一个数据库为孝信通所有,第二个数据库可能与上海延华智能有关。属于孝信通的数据库包含老人敏感信息,有 GPS 位置、手机号码、地址、哈希密码等;而上海延华智能的数据库则包含更多的敏感数据,例如易解码的音频文件、姓名、员工 ID、心率、GPS 位置等。


目前,这两个数据库已经被关闭。


第一个数据库:超 30 万老人数据泄露

Cybernews 团队的研究表明,第一个数据库属于孝信通。公开资料显示,孝信通是上海孝信网络科技有限公司旗下的产品,该公司成立于 2015 年。据了解,孝信通是一个智能养老服务平台,产品由移动智能终端、老人手机端 APP、子女手机端 APP、专业人员手机端 APP、云服务平台组成,为老人提供“救、爱、健、助”服务。


而本次发现的孝信通数据库包含超过 34 万条记录,内容非常详细:


  • 手机号码

  • 地址

  • GPS 位置

  • 用户的亲人和其他监护人的姓名以及手机号

  • 位置轨迹(包括住址和 GPS 坐标)

  • 哈希密码

  • SOS 记录和 SOS 位置记录

  • 个人 ID


这些数据中,绝大部分(有近 28.5 万条记录)为地址、GPS 坐标和个人 ID 数据。


第二个数据库:泄露超 420 万数据

Cybernews 表示,虽然它可以确信第一个数据库属于孝信通,但是对于第二个数据库,它们还未完全确认它为上海延华智能所有。


据官网介绍:上海延华智能科技(集团)股份有限公司是一家智慧城市服务与运营商,旗下有智慧节能、智慧医疗、智能建筑与智慧社区、数据中心、智慧环保、智慧旅游等业务。公开资料显示,该公司 2019 年营收为 9.18 亿。


在查看第二个数据库的内容时,研究者发现大量相同的数据类型:设施、报警、员工健康监控数据和与车辆相关的信息。同时,它们还在这个数据库中发现带有“yhzn”关键字的条目。



研究者在谷歌中搜索“yhzn",结果显示”上海延华智能公司“,如下图:



Cybernews 称,“不幸的是,我们无法与该公司联系,从而进一步确认该数据库是否归属它们。”


第二个数据库包含超过 420 万的记录,且数据更为详细:


个人


  • 姓名、与工作相关的 ID 号码、报警和警告 ;

  • 音频文件和一些相关的姓名 ;

  • 计步器和设备电池强度 ;

  • 用户心率、oxygen level 和可能的血压 ;

  • 项目和人员名称 ;

  • Packet GPS locations;

  • 个人的多种 GPS 位置,包括个人足迹。


车辆


  • 车辆工作 ID 和车牌号、警报、垃圾重量、村庄数等总计数千个条目;

  • 车辆 GPS 位置和轨迹。


设施


  • 设施名称、报警类型、报警状态、GPS 位置;

  • 总的来说,这些记录中的大多数为车辆 GPS 位置和轨迹、设施的数据以及人员的 GPS 跟踪。


我们可以看看第二个数据库中的数据



个人音频记录示例



个人健康记录示例


后果

据悉,研究者并不清楚这两个数据库在网上暴露多长时间。因此,仍然不清楚是否有 bad actors 在数据库关闭前访问过这两个数据库。但是,问题在于仅具有中等技术知识的人就能访问该数据库,而无需任何身份验证,因此其他人仍然有可能访问它们。


实际上,有关特定运动的数据库以及来自这些数据库的健康数据可以为网络罪犯带来不同的回报。一种方式是网络犯罪分子在暗网上出售这些数据,每条数据记录甚至可以净赚 1 美元。另一种方式是和其他数据结合使用,犯罪分子可以利用它们进行电信诈骗、实施钓鱼攻击等。无论哪种方式,后果都很严重。


2019 年初,外网安全研究人员偶然发现一个没有被很好保护的 MongoDB 数据库服务器,整个实例包含 854GB 数据,共有 202,730,434 条记录,其中大部分是中国用户简历,内容非常详细,包括中文全名、家庭住址、电话号码、电子邮件、婚烟状况、政治关系、期望薪水等内容。


2020 年 5 月,泰国移动运营商 Advanced Info Service (AIS) 子公司 Advanced Wireless Network (AWN) 控制的 Elasticsearch 数据库可被公开访问,数据库中包含了约 83 亿记录,数据体量约为 4.7 TB,每 24 小时增加 2 亿记录。


在笔者盘点的 2019 年数据泄露事件中,我们经统计发现:数据库的在线公开是第二大数据泄露原因,占全部数据泄露事件的 16%。


数据泄露一旦发生就无法挽回,后果也不可预知。因为在互联网上,泄露的数据有可能以各种方法被滥用。


参考资料:


https://cybernews.com/security/unsecured-chinese-companies-leak-users-sensitive-personal-and-business-data/


2020 年 7 月 10 日 14:342090
用户头像
万佳 InfoQ编辑

发布了 610 篇内容, 共 225.3 次阅读, 收获喜欢 1504 次。

关注

评论

发布
暂无评论
发现更多内容

Pulumi 如何在 Windows 环境中设置

HoneyMoose

“为爱而生 温暖陪伴”——2021年中国洗地机行业发展峰会圆满落幕

DT极客

Too many open files 的四种解决办法

陈迪

同源策略引发的跨域问题它都能轻松解决!先来认识认识有这么强大功能框架的神奇之处

攻城狮Chova

nginx 5月日更

多方安全计算:隐私保护集合求交技术

华为云开发者社区

数据集 PSI 隐私保护集合交集 可信 伪随机函数

5G进京 “赶考”记:“占得上、保持稳、体验优、信号好”四道考题,分别打几分?

脑极体

【和平精英x TcaplusDB】两周年,让我们一起加油!

tcaplus

数据库

微软 WSL 重装操作系统

HoneyMoose

Arction高性能图表控件LightningChart关于极坐标图配置问题解答

Geek_bacee5

数据可视化 Arction 图表控件 LightningChart 极坐标图配置问题解答

分布式文件系统怎么做?终于有个人把分布式文件上传讲清楚了

攻城狮Chova

fastdfs 文件服务 5月日更

融云2021 X-Meetup技术沙龙 探讨音视频技术新方向

融云 RongCloud

浅谈负载均衡

Damon

负载均衡 5月日更

Windows Terminal 安装和运行

HoneyMoose

CMMI V2.0丨如何通过CMMI真正在企业中的实施规模化敏捷开发

渠成CMMI

软件 研发管理 CMMI

快成物流科技 x mPaaS | 小程序容器加持下的技术架构“提质增效”

蚂蚁集团移动开发平台 mPaaS

小程序 mPaaS 移动开发平台

「Adobe国际认证」Adobe Photoshop调整照片的颜色强度

Adobe国际认证

生产者消费者服务管理实践!API网关实现服务聚合详解

攻城狮Chova

api 网关 生产者与消费者 5月日更

uniapp 使用原生子窗体进行视频聊天

anyRTC开发者

uni-app 音视频 WebRTC RTC

Arction图表控件LightningChart.NET中如何创建显示财务数据的2D StockSeries图表

Geek_bacee5

数据可视化 LightningChart.NET Arction 图表控件 LightningChart

Windows 任务管理器中如何显示 CPU 逻辑处理器情况

HoneyMoose

一张图看懂嵌入式系统组成

不脱发的程序猿

硬件开发 嵌入式系统 嵌入式学习路线

国内日志监控分析王者之sls

代码先生

分布式日志 海量数据分析 日志监控分析

RDBMS与HBase的对比

五分钟学大数据

大数据 HBase 5月日更

Arction高性能图表控件LightningChart.NET如何正确清理内存资源

Geek_bacee5

数据可视化 LightningChart.NET Arction 图表控件 LightningChart

This BigData,Hadoop组成及生态

Simon郎

大数据 hdfs YARN hadoop3 大数据MapReduce

GitHub开源史上最大规模中文知识图谱

不脱发的程序猿

人工智能 自然语言处理 GitHub 开源项目 中文知识图谱

中公、马士兵、千锋、拉勾入局,腾讯课堂“薪选”IT人才培养按下加速键

DT极客

关于OpenHarmony 2.0共建进展

罗燕珊

鸿蒙 开源项目 OpenHarmony

并行文件存储和分布式 NFS 文件存储有何不同

焱融科技

云原生 高性能 文件存储 容器存储 技术博客

🚄【Redis 干货领域】帮你完全搞定Sentinel运作原理

李浩宇/Alex

redis哨兵模式 redis哨兵 redis哨兵集群 redis sentinel 5月日更

不给电脑,我用手机敲命令十分钟完成了zabbix监控,面试官当场下offer

互联网老辛

监控 zabbix

国内两公司近500万敏感信息泄露,含几十万老人及其家属数据-InfoQ