国内两家企业近 500 万敏感数据信息泄露

2024-10-31

最近，Cybernews团队发现了两个不安全的数据库，共有约500万条记录，其中包含了许多敏感信息，如姓名、手机号码和地址。

据悉，这两个数据库分别属于中国的两家公司，其中第一个数据库归孝信通所有，第二个数据库可能与上海延华情报有关。属于孝信通的数据库包含老年人的敏感信息，包括全球定位系统位置、手机号码、地址、哈希密码等；上海延华的智能数据库包含更敏感的数据，如容易解码的音频文件、姓名、员工身份、心率、全球定位系统位置等。

目前，这两个数据库已经关闭。

第一个数据库：超过30万老年人的数据泄露

根据Cybernews团队的研究，第一个数据库属于孝信通。根据公开信息，孝信通是上海孝信网络技术有限公司的产品，该公司成立于2015年。据了解，孝信通是一个智能养老服务平台，由移动智能终端、老年人移动应用、儿童移动应用、专业人士移动应用和云服务平台组成，为老年人提供“救助、关爱、健康、帮助”服务。

这次发现的孝信通数据库包含34万多条记录，内容非常详细：

手机号码、地址、全球定位系统位置、用户亲属和其他监护人的姓名和手机号码、位置轨迹(包括地址和全球定位系统坐标)、密码、紧急呼救记录和紧急呼救位置记录、个人身份证等。

这些数据中的大多数(有近285，000条记录)是地址、全球定位系统坐标和个人身份数据。

第二个数据库：泄露了超过420万的数据

Cybernews表示，尽管可以肯定第一个数据库属于孝信通，但他们还没有完全证实第二个数据库属于上海延华智能公司。

据官方网站介绍，上海延华智能科技(集团)有限公司是一家智能城市服务和运营商，拥有智能节能、智能医疗、智能建筑和智能社区、数据中心、智能环保、智能旅游等业务。根据公开信息，该公司2019年的收入为9.18亿英镑。

当查看第二个数据库的内容时，研究人员发现了许多相同的数据类型：设施、警报、员工健康监测数据和车辆相关信息。同时，他们还在这个数据库中找到了关键字为“yhzn”的条目。

Cybernews表示：“不幸的是，我们无法联系该公司，以进一步确认该数据库是否属于他们。”第二个数据库包含420多万条记录和更详细的数据：
个人姓名、与工作相关的身份证号码、报警和警告；音频文件和一些相关名称；计步器和设备的电池强度；用户心率、氧气水平和可能的血压；项目和人员名称；分组全球定位系统位置；个人的各种全球定位系统位置，包括个人足迹。车辆数以千计的项目，如车辆工作标识和车牌号码、警报、垃圾重量和村庄编号；车辆的全球定位系统位置和轨迹。一般来说，这些记录大多是车辆全球定位系统的位置和轨迹，设施数据和人员全球定位系统跟踪。

据报道，研究人员不知道这两个数据库在互联网上暴露了多久。因此，还不清楚在数据库关闭之前，坏的参与者是否访问了这两个数据库。然而，问题是只有具有中等技术知识的人才能访问数据库，而不需要任何身份验证，因此其他人仍然可以访问它们。

事实上，关于特定运动和健康数据的数据库会给网络罪犯带来不同的回报。一种方法是网络罪犯在黑网上出售这些数据，每条数据记录甚至可以赚取1美元的净利润。另一种方法是将其与其他数据结合使用。罪犯可以利用它进行电信欺诈和网络钓鱼攻击。不管怎样，后果都非常严重。

2019年初，外部网络安全研究人员偶然发现了一台未受保护的MongoDB数据库服务器。整个实例包含854千兆字节的数据，总共有202，730，434条记录，其中大部分是中国用户的简历，内容非常详细，包括中文的全名、家庭地址、电话号码、电子邮件、婚礼烟雾状态、政治关系、期望工资等。

2020年5月，由高级信息服务(AIS)的子公司高级无线网络(AWN)控制的弹性搜索数据库(泰国，移动，的一家运营商)可以公开访问。该数据库包含约83亿条记录，数据量约为4.7 TB，每24小时增加2亿条记录。

在笔者统计的2019年数据泄露事件中，我们通过统计发现，数据库的在线泄露是数据泄露的第二大原因，占所有数据泄露事件的16%。一旦发生数据泄漏，就无法恢复，其后果是不可预测的。因为在互联网上，泄露的数据可能会以各种方式被滥用。