写点什么

成人网站泄露 108 亿数据,内含 50 万中国用户

  • 2020-05-08
  • 本文字数:1575 字

    阅读完需:约 5 分钟

成人网站泄露108亿数据,内含50万中国用户


近日,据外媒 BleepingComputer 报道,因 Elasticsearch 集群错误配置,成人视频网站 CAM4 发生重大数据泄露事件。

泄露 108 亿条记录的成人视频网站

据悉,本次泄露的数据量超 7TB,存储着超过 108 亿条记录。由于一个错误配置的 Elasticsearch 集群导致 CAM4 的生产数据库在网上公开,因此数据被泄露。



由安全研究者 Anurag Sen 领导的一个 Safety Detectives 团队发现了 CAM4 不安全的数据库。该团队在报告此事后,CAM4 的母公司很快下线数据库。


研究人员发现,在 108 亿条记录中,有 1100 万份包含电子邮件地址,另有 26392701 份包含 CAM4 用户和网站系统的密码散列。


据了解,CAM4 主要面向欧美受众,它是一个广受欢迎的成人直播平台,不少素人会通过直播摄像头在该平台上直播成人内容。CAM4 每年有近 20 亿访客,其成员每周在上面花费的时间超过 100 万个小时,平台每天播放超过 75999 个私人节目。


根据研究者分析,本次泄露的数据包含大量个人身份信息(PII),涵盖姓名、性取向、电子邮件、IP 地址、支付记录和聊天记录等。具体数据类型如下:


  • 姓名

  • 电子邮件地址

  • 出生地

  • 注册日期

  • 性别偏好和性取向

  • 设备信息

  • 其他用户细节,比如口语

  • 用户名

  • 支付记录,包括信用卡类型、支付金额等

  • 用户对话

  • 邮件往来记录

  • 用户和 CAM4 的聊天记录

  • 令牌信息

  • 密码 hashes

  • IP 地址

  • Fraud detection logs

  • Spam detection logs

全球多国用户受影响,包括超 50 万的中国用户

基于 CAM4 不安全的数据库,SafetyDetectives 团队分析了每个国家受影响的用户数。其中,本次泄露事件涉及近 660 万美国用户、530 万巴西用户。值得注意的是,泄露事件还影响到超过 53 万的中国用户



此外,本次泄露事件还影响到 480 万意大利用户、410 万法国用户、300 万德国用户、245 万西班牙用户和 160 万英国用户。


研究者,“安全团队还发现了 26392701 条带有散列密码的条目,其中一部分属于 CAM4.com 用户,一部分来自网站系统资源。”


针对此次数据泄露,CAM4 公司在一份声明中表示,“毫无疑问,包括姓名、地址、电子邮件、IP 地址或财务数据在内的任何个人身份信息,都没有被 Safety Detectives 团队和 CAM4 调查人员之外的人所访问。”


不过,如此包含大量且详细信息的数据泄露事件,危害极大。因为攻击者可能以 CAM4 用户和成员为目标,利用泄露的个人身份数据(PII),实施多种攻击,包括鱼叉式钓鱼攻击、勒索活动、身份窃取和多种类型的欺诈活动等。

Elasticsearch 数据泄露,你该怎么办?

除 CAM4 外,法国《费加罗报》同样因 Elasticsearch 配置错误而发生数据泄露,泄露 74 亿条记录,超 8TB 数据在网上公开。


上述两起重大数据泄露事件均与 Elasticsearch 有关。此前,InfoQ 已经报道过多起 Elasticsearch 数据泄露,比如 Elasticsearch 在 2019 年 1 月发生 6 起数据泄露事件:


  1. 百安居发生数据泄露,70000 起店内盗窃案的信息流出;

  2. 在线赌场泄漏 1.08 亿投注信息;

  3. 美国多家大银行贷款文件遭泄露,文件数量达 2400 万;

  4. 青年学生组织 AIESEC 的 400 万条志愿者信息泄露;

  5. VOIPO 超百万的电话和短信数据泄露;

  6. IT 安全和云数据管理公司 Rubrik 发生大规模数据泄露。


对于 Elasticsearch 有关的数据泄露事件,Elasticsearch 中文社区深圳分会杨振涛曾表示:


不少开发人员及其团队在认知上更多地把 Elasticsearch 看成是与 MySQL 同等的存储系统,所以在部署以后并没有太多地关心其访问控制策略和数据安全。而且 Elastisearch 开箱即用的特点也让开发和运维人员放松了对安全的重视。


如何避免 Elasticsearch 在使用时发生数据泄露,杨振涛也给出几个建议:


  • 服务器必须要有防火墙,不能随意对外开放端口;

  • Elasticsearch 集群的端口包括 TCP 和 HTTP,都不能暴露在公网;

  • Elasticsearch 集群禁用批量删除索引功能;

  • Elasticsearch 中保存的数据要做基本的脱敏处理;

  • 加强监控和告警,能够在安全事件发生的第一时间感知并启动紧急预案,将损失降到最低。


2020-05-08 14:327889
用户头像
万佳 前InfoQ编辑

发布了 677 篇内容, 共 382.3 次阅读, 收获喜欢 1805 次。

关注

评论

发布
暂无评论
发现更多内容

中国20强(上市)游戏公司2022年财报分析:营收结构优化,市场竞争进入白热化

易观分析

公司 游戏

Django基本数据访问

测吧(北京)科技有限公司

测试

夺冠秘诀?华为软件精英挑战赛两届冠军这样复盘比赛经验

华为云开发者联盟

云计算 华为云 华为云开发者联盟 企业号 5 月 PK 榜

Prompt learning 教学[进阶篇]:简介Prompt框架并给出自然语言处理技术:Few-Shot Prompting、Self-Consistency等;项目实战搭建知识库内容机器人

汀丶人工智能

人工智能 深度学习 ChatGPT prompt learning

大模型时代入场级技能:提示词工程!百度文心中文教程来啦

飞桨PaddlePaddle

百度飞桨

开源轻量级 IM 框架 MobileIMSDK 的Uniapp客户端库已发布

JackJiang

网络编程 即时通讯 即时通讯IM

以数据思维和技能提升数据应用测试实践 | 京东云技术团队

京东科技开发者

测试 测试覆盖率 数据思维 应用安全测试 企业号 5 月 PK 榜

Fabarta 参加 2023 数云原力大会,与各方共同发布《2023 数据资产盘点实践白皮书》

Fabarta

数据要素 数据资产管理 数据资产化 数据要素流通

跑步课程导入能力,助力科学训练

HarmonyOS SDK

HMS Core

重磅来袭!微服务的里程碑SpringCloudAlibaba

Java 架构 微服务 Spring Cloud spring cloud alibaba

膜拜!阿里内部都在强推的K8S(kubernetes)学习指南,不能再详细了

Java Kubernetes k8s

中建信息亮相华为中国合作伙伴大会2023

极客天地

Windows本地搭建RabbitMQ Server

北桥苏

Rabbit MQ RabbitMQ安装

Elasticsearch分布式搜索引擎的基本使用

北桥苏

php elasticsearch

ZeroErr 零误框架

西风逍遥游

数据库外网ip binlog主从配置

Java你猿哥

Java MySQL 后端 ssm

国内商业BI工具介绍,瓴羊Quick BI、帆软怎么样

流量猫猫头

Java面试题大全(整理版)1000+面试题附答案详解最全面看完稳了

Java你猿哥

Java MySQL redis mybatis java面试

【源码分析】【seata】at 模式分布式事务-server端与客户端交互

如果晴天

源码分析 分布式事务 分布式锁 seata Seata框架

Alibaba技术专家倾心五年打造!Java工程师成神之路(基础篇)

Java

网页版超强ChatGPT插件应用ZipZap来了,每日免费10K Token足够使用

Ricky

openai ChatGPT GPT-4

从零开始打造一款基于SpringBoot+SpringCloud的后台权限管理系统

Java Spring Cloud Spring Boot 权限管理

Django查询、删除、更新数据

测吧(北京)科技有限公司

测试

MySQL主从配置+ThinkPHP5分布式数据库

北桥苏

MySQL 分布式 thinkphp

大厂工作四年Java经验总结了学习路线规划,所有私藏资料我都贡献出来了

Java你猿哥

Java Spring Boot JVM java基础 java面

2023 开源之夏来啦!报名 MegEngine 项目,赢取万元奖金!

MegEngineBot

深度学习 开源之夏 MegEngine 学生比赛 奖金

BATM面试Java岗:精选200+面试题及答案、6大重点规划和经验总结

Java你猿哥

Java MySQL JVM 多线程 java面试

面试官:说说 WebSocket 和 Socket 及 Http 的区别?

Java你猿哥

Java TCP ssm HTTP webSock

微信小程序二维码文件流上传到OSS解决方法

北桥苏

php OSS thinkphp

AntDB数据库携手金蝶Apusic应用服务器, 共促信创产业繁荣发展

亚信AntDB数据库

AntDB AntDB数据库 企业号 5 月 PK 榜

成人网站泄露108亿数据,内含50万中国用户_安全_万佳_InfoQ精选文章