Elasticsearch又泄露27亿数据，波及BAT等大厂

2019 年 12 月 12 日，又是让人无语的 Elasticsearch 服务器，不到两周时间，新一轮的数据泄露事件便再度发生!

最近的一次 Elasticsearch 信息泄漏

这次，研究人员在不安全的云存储桶中，总共发现了 27 亿个电子邮件地址，10 亿个电子邮件账户密码以及一个装载了近 80万份出生证明副本的应用程序。

研究人员称，过去一年里，一些企业无意识得让他们的 Amazon Web 服务 S3 和基于云计算的Elasticsearch存储桶暴露出来。它们没有任何适当的安全措施，也没有被试图锁定的迹象。

Security Discovery 网站的网络威胁情报总监鲍勃·迪亚琴科(BobDiachenko)称，我们在上周发现了一个巨大的Elasticsearch 数据库，包含超过 27 亿个电邮地址，其中有 10 个的密码都是简单的明文。

大多数被盗的邮件域名都来自中国的邮件提供商，比如腾讯、新浪、搜狐和网易。当然，雅虎 Gmail 和一些俄罗斯邮件域名也受了影响。

这些被盗的电邮及密码也与 2017 年那次大型的被盗事件有关，当时有黑客直接将它们放在暗网上售卖。

该 Elasticsearch 服务器属于美国的一个托管服务中心，后者在 Diachenko 发布数据库存储安全报告后于 12 月 9 日被关闭。

但即使如此，它已经开放了至少一周，并且允许任何人在无密码的情况下进行访问。

Diachenko 称，单就数字而言，这可能是我所看到的记录数据最庞大的一次(他自 2018 年以来发掘了多次数据泄露事件，其中包括2.75亿个印度公民信息的数据库)。

被泄露的 27 亿个电子邮件地址目前无法证实是否为有效地址，但其来源确属违规。

Diachenko 认为，这些电子邮件往往不会引起企业的重视，但实际上电子邮件账户会受到攻击的可能性更高。

因为这些电子邮件一旦引发攻击行为，用户通常不会受到警报，原因在于国内的防火墙阻止了检查电子邮件泄露的服务。

目前尚不清楚到底谁公开了数据库，这有可能是黑客，也有可能就是安全研究人员。

但无论哪种方式，该行为都忽视了 Elasticsearch 原本提供的安全性选项，这只是许多忽略保护云存储安全重要性示例中的另一个。

Diachenko 在研究中发现一个线索，数据库的所有者用每个地址的 MD5、SHA1 和SHA256散列对偷来的电子邮件地址进行了操作，这很有可能是为了方便在数据库中进行搜索。

这种情况很像是原本买下了该数据库的某人本试图启动其搜索功能，却被错误配置成了公开可用。

与此同时，英国渗透测试公司 Fidus Information Security 的研究人员在 AWS S3 存储桶中发现了近80万份美国出生证明复印件的在线申请，该存储桶属于一家提供出生和死亡证明复印件服务的公司。bucket 没有密码保护，因此对任何人都是开放的。

有趣的是，据 TechCrunch 称，研究人员无法访问存储桶中的 94000 个死亡证明副本应用程序数据库。

TechCrunch 发现，该应用程序中包含的数据可以追溯到 2017年末，泄露数据的范围包括姓名、出生日期、地址、电子邮件地址、电话号码和其他个人数据。

Fidus 主管 Andrew Mabbitt 称，他的公司在从事 AWS S3 项目时发现了数据。

该存储桶经过配置，可以实现对外界的开放可读，允许具有 URL 的任何人获得所有文件的完整列表。

截止目前，该程序库仍然保持公开状态。研究人员称，在多次联系 AmazonAWS安全团队后，后者表示已将报告传递给存储桶所有者，并建议尽快采取措施。但是，所有者似乎忽略了这些消息，至今没有任何回复。

位于公共互联网上的配置错误和暴露的数据，足以造成攻击事件发生。黑客可以对所有者进行信息欺诈或者盗取身份信息，这类有针对性的电子邮件网络钓鱼和黑进账户的案例已经很多。

Bitglass 的首席技术官 Anurag Kahol 建议，企业应确保他们对客户数据有充分的了解和把控度。

适当得采用实时访问控制、静态数据加密并配置可以检测任何配置错误的云安全设置。